CVE-2026-32829

إصدارات lz4 flex 0.11.5 وما دونها و0.12.0

يحتوي lz4 flex، وهو تطبيق بلغة Rust لضغط/فك ضغط LZ4، على ثغرة أمنية قد تؤدي عملية فك ضغط بيانات LZ4 غير صالحة إلى تسرب المعلومات. وعلى وجه التحديد، لا تقوم المكتبة بالتحقق بشكل صحيح من صحة قيم الإزاحة أثناء «عمليات النسخ المطابقة» في LZ4، مما قد يتسبب في قراءات خارج النطاق من مخزن الإخراج المؤقت. وقد يؤدي ذلك إلى تسرب البيانات الحساسة من الذاكرة غير المُهيأة أو من عمليات فك الضغط السابقة عند إعادة استخدام مخزن الإخراج المؤقت. تتأثر وظائف واجهة برمجة التطبيقات (API) القائمة على الكتل (decompress into، وdecompress into with dict، وغيرها عند تعطيل ميزة safe-decode) بهذه المشكلة، في حين لا تتأثر واجهات برمجة التطبيقات (API) القائمة على الإطارات. تنبع المشكلة من التحقق غير الصحيح من قيم offset أثناء فك الضغط، مما يسمح بنسخ البيانات من خارج الجزء المُهيأ من مخزن الإخراج المؤقت. ويمكن أن يحدث هذا في حالتين: عند استخدام التنفيذ «غير الآمن» (عند تعطيل علامة ميزة «safe-decode») وعند فك الضغط في مخزن مؤقت للإخراج معاد استخدامه.

تتأثر إصدارات lz4 flex السابقة للإصدار 0.11.6.

يتأثر الإصدار 0.12.0 من lz4 flex.

قم بالترقية إلى الإصدار 0.11.6 أو 0.12.1 من lz4 flex لحل المشكلة.

إذا تعذر إجراء الترقية، فقم بضبط مخزن الإخراج على الصفر قبل استدعاء lz4 flex::block::decompress into أو lz4 flex::block::decompress into with dict.

قم بتمكين علامة ميزة safe-decode كإجراء تخفيفي.