CVE-2026-48109

Nome do Software Vulnerável e Versões Afetadas MessagePack for C# versões anteriores a 2.5.301 MessagePack for C# versões anteriores a 3.1.7

Description Um problema existe no caminho opcional de descompressão LZ4 usado pelos modos de compressão Lz4Block e Lz4BlockArray. O decodificador utiliza um algoritmo de descompressão rápida obsoleta que não possui um limite de comprimento de origem. Um invasor remoto pode enviar um payload MessagePack manipulado com campos de token/comprimento LZ4 alterados para forçar leituras fora dos limites do buffer de entrada compactado. Isso pode disparar uma AccessViolationException durante a descompressão, resultando na terminação do processo e negação de serviço. Em certas condições, a divulgação limitada e não intencional de memória a partir de dados lidos excessivamente pode ocorrer antes da falha do processo. Isso afeta aplicações que desserializam dados não confiáveis com a compressão LZ4 habilitada.

Recommendations Atualize para a versão 2.5.301 ou posterior. Atualize para a versão 3.1.7 ou posterior. Desabilite a compressão LZ4 para caminhos de entrada não confiáveis (Lz4Block, Lz4BlockArray). Aceite payloads compactados apenas de produtores fortemente confiáveis. Isole a desserialização em um processo ou container separado com supervisão de reinicialização para limitar o impacto na disponibilidade.