CVE-2026-106452

Nome do Software Vulnerável e Versões Afetadas yawkat LZ4 Java versões anteriores a 1.11.2

Description A função refill() em net.jpountz.lz4.LZ4BlockInputStream não valida adequadamente o campo compressedLen em um cabeçalho LZ4Block legado. Embora verifique se o valor não é negativo, ela aloca um buffer de entrada compactado com base nesse tamanho controlado por um invasor antes de ler os dados de carga úteis. Isso permite que um fluxo composto apenas por cabeçalhos solicite uma alocação de quase 2 GiB, resultando no esgotamento do heap da JVM. Isso ocorre porque leitores vulneráveis aceitam blocos compactados superdimensionados não canônicos, enquanto escritores canônicos normalmente emitem blocos brutos quando a compactação não reduz o tamanho do bloco original.

Recommendations Atualizar para a versão 1.11.2.