Wysoki Odebrany

CVE-2026-47321

opublikowano: 21.09.2026, 10:16

modyfikacja: 21.09.2026, 21:17

Ocena CVSS

7.5

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Klasa CompressionFilter używa ZLib do deflacji i zawyżania danych wysyłanych i odbieranych. Kiedy zawyżamy przychodzące dane, filtr nie kontroluje wynikowego rozmiaru i niezależnie od wszystkiego tworzy bufor.

Niektóre skompresowane dane mogą mieć stopień kompresji większy niż 1000, co prowadzi do wyczerpania pamięci aplikacji, ponieważ nie kontrolujemy zmniejszonego rozmiaru.

Poprawka dodaje taką kontrolę, umożliwiając twórcy aplikacji zapewnienie stałego limitu rozmiaru, który po osiągnięciu zgłasza wyjątek. Pozwala także użytkownikowi zapewnić współczynnik kompresji, którego nie należy przekraczać, chroni aplikację przed małymi, nadmuchanymi plikami, które rozrastają się do gigantycznych plików, ale z ograniczeniem rozmiaru wynikowego (1 Mb), aby uniknąć fałszywych alarmów (jak bardzo mały plik rozdęty z wysokim współczynnikiem, ale skutkujący akceptowalnym rozmiarem, na przykład kilkoma tysiącami bajtów)

W przypadku aplikacji korzystających z tej funkcji zdecydowanie zaleca się utworzenie elementu CompressionFilter i przekazanie maksymalnego limitu jako czwartego parametru konstruktora, maxDecompressedSize:

public CompressionFilter(końcowa wartość logiczna compressInbound, końcowa wartość logiczna compressOutbound, final int kompresjiLevel, final int maxDecompressedSize) Opcjonalnie można również podać piąty parametr maxDecompressRatio i szósty parametr decompressRatioMinSize, aby umożliwić akceptowanie małych, zawyżonych plików o wysokim współczynniku kompresji.

Oto dodatkowy konstruktor:

public CompressionFilter(końcowa kompresja logiczna przychodząca, końcowa kompresja logiczna wychodząca,

końcowy int poziom kompresji, końcowy int maxDecompressedSize,

końcowy długi maxDecompressRatio, końcowy długi współczynnik dekompresjiMinSize)

Należy również pamiętać, że dodano płynny interfejs API, aby oszczędzić użytkownikom bólu związanego z wywoływaniem konstruktora z tak dużą liczbą parametrów:

CompressionFilter kompresjaFilter = nowy CompressionFilter()

.setCompressionLevel(Zlib.COMPRESSION_MAX)

.setMaxDecompressedSize(1_000_000)

.setMaxDecompressRatio(100).

.setDecompressRatioMinSize(100_000);

Zaleca się, aby aplikacje korzystające z Apache MINA zaktualizowały i skonfigurowały instancję CompressionFilter.

The CompressionFilter class uses ZLib to deflate and inflate data sent and received. When we inflate incoming data, the filter does not control the resulting size, and create a buffer no matter what.

Some compressed data may have a compression ration greater than 1 thousand, leading to an exhaustion of the application memory, as we don't control the deflated size.

The fix adds such a control by allowing the application developer to provide a fixed size limit, which when reached throws an exception. It also allows the user to provide a compression ratio that should not be exceeded, protected the application from small inflated files that inflate in gigantic files, but with a grace limit for the resulting size (1Mb) to avoid false positive (like a very small file inflating with a high ratio, but resulting with a acceptable size, like a few thousands bytes)

For application using this feature, it is highly recommended to create the CompressionFilter and to pass the maximum limit as a forth constructor parameter, maxDecompressedSize:

public CompressionFilter(final boolean compressInbound, final boolean compressOutbound, final int compressionLevel, final int maxDecompressedSize)Optionally one can also provide a maxDecompressRatio fifth parameter, and a decompressRatioMinSize sixth parameter to allow small inflated files with a high compression ratio to still be accepted.

Here are the additional constructor:

public CompressionFilter(final boolean compressInbound, final boolean compressOutbound,

final int compressionLevel, final int maxDecompressedSize,

final long maxDecompressRatio, final long decompressRatioMinSize)

Also note that a fluent API has been added to spare the users the pain to call a constructor with that many parameters:

CompressionFilter compressionFilter = new CompressionFilter()

.setCompressionLevel(Zlib.COMPRESSION_MAX)

.setMaxDecompressedSize(1_000_000)

.setMaxDecompressRatio(100).

.setDecompressRatioMinSize(100_000);

Applications using Apache MINA are advised to upgrade and configure their CompressionFilter instance.

>_ Słabości (CWE)

CWE-409 CWE-789

>_ Referencje

https://lists.apache.org/thread/y7xj1bl8qo47p9bktb11hg5v6k1d4dyj

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve