CVE-2026-126366

Nome do Software Vulnerável e Versões Afetadas msgpack versões anteriores a 1.8.7

Descrição Na implementação para plataforma Java da gem msgpack para JRuby, o decodificador aloca memória para arrays e buffers de bytes com base no tamanho declarado no cabeçalho da mensagem antes de verificar se os elementos ou bytes reais estão disponíveis. Um invasor pode enviar um cabeçalho MessagePack curto para desencadear alocações de memória muito grandes ou crescimento sustentado do heap, potencialmente levando a um java.lang.OutOfMemoryError e exaurindo o heap compartilhado da JVM. Isso pode desestabilizar ou travar todo o processo da JVM, afetando todas as threads e conexões.

O problema afeta especificamente os seguintes componentes:

Observe que map32 e contagens declaradas iguais ou superiores a 2^31 não são afetadas por esse comportamento.

Recomendações Atualize o msgpack para a versão 1.8.7. Como solução temporária, restrinja o uso de MessagePack.unpack e MessagePack::Unpacker ao processar entradas não confiáveis.