CVE-2021-35516CWE-130

Apache Commons Compress 1.6 to 1.20 denial of service vulnerability

8Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackepss 12%

probabilidade de exploração

12%top 4% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

Uma falha no Apache Commons Compress permite que atacantes criem pequenos arquivos 7Z manipulados que forçam o software a usar enormes quantidades de memória, causando travamento. Isso pode ser explorado para desabilitar serviços que processam arquivos 7Z.

Detalhe técnico

CWE-130 (Manipulação Inadequada de Parâmetros de Comprimento) no pacote sevenz causa alocação excessiva de memória ao analisar arquivos 7Z manipulados. O vetor de ataque é processamento de arquivo local/remoto com tamanho de entrada mínimo, resultando em falta de memória e negação de serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.

When reading a specially crafted 7Z archive, Compress can be made to allocate large amounts of memory that finally leads to an out of memory error even for very small inputs. This could be used to mount a denial of service attack against services that use Compress' sevenz package.

Produtos afetados

Apache Software Foundation · Apache Commons Compress

Referências