CVE-2026-119078

Nome do Software Vulnerável e Versões Afetadas Apache Commons Codec versões 1.16.0 até 1.22.x

Descrição A função doFinalize() na classe Blake3 não possui estado, o que significa que ela não altera o estado do hash quando chamada. Consequentemente, chamadas consecutivas a essa função sem fornecer entradas adicionais retornam bytes idênticos. Isso contradiz a documentação original, que sugeria que chamadas subsequentes produziriam saídas diferentes. Aplicações que utilizam essa função para derivação de chaves, como o exemplo fornecido no Javadoc, derivarão chaves idênticas, resultando na perda da separação de chaves.

Recomendações Para as versões 1.16.0 até 1.22.x, derive múltiplas chaves solicitando o comprimento total combinado em uma única chamada de doFinalize() e, em seguida, dividindo a saída resultante. Como medida de mitigação temporária, evite chamar a função doFinalize() mais de uma vez em uma única instância do Blake3 se forem esperadas saídas únicas.