- Yama var
- Son 7 gün
- CWE-190
CVE-2026-110747
jackson-dataformat-protobuf: ProtobufParser._readStringKey içinde tamsayı taşması, bellek hatasına yol açıyor
- Yayımlandı
- Güncellendi
- 28 Eki 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- HeroDevs
Yönetici özeti
Bu açık, protobuf verisi işleyen Java uygulamalarının kolayca çökertilmesine olanak tanır ve hizmet kesintisi riski oluşturur. Saldırının çok basit olması nedeniyle etkilenen sistemlerin hızlıca güncellenmesi önerilir.
ÖzetTürkçe
ProtobufParser._readStringKey metodu, protobuf map girişinin anahtar uzunluğunu işaretli tamsayı aritmetiğiyle kontrol eder; büyük uzunluk değerlerinde toplama taşar ve kontrol yanlışlıkla geçer. Bu durum, yalnızca birkaç baytlık kötü biçimlendirilmiş bir mesajla devasa bir tampon ayrılmasını tetikler. Etkilenen sürümler 2.21.6–2.21.7, 2.22.0–2.22.3, 3.1.6–3.1.7 ve 3.2.2–3.2.3 dallarıdır.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması gerektirmeden 8 baytlık bir mesajla OutOfMemoryError oluşturabilir ve hizmetin çökmesine veya JVM'nin sonlanmasına neden olabilir (hizmet reddi).
Kaynaktaki açıklama (İngilizce)
ProtobufParser._readStringKey() reads the length prefix of a protobuf map entry's string key into an attacker-controlled int and then checks (_inputPtr + len) <= _inputEnd using signed arithmetic. For values near Integer.MAX_VALUE the addition overflows to a negative value and the check passes even when the input contains no key data. The parser then calls _finishShortText(len), which expands the text buffer to the declared length via TextBuffer.expandCurrentSegment and Arrays.copyOf, throwing OutOfMemoryError: Requested array size exceeds VM limit.
An 8-byte malformed message containing a map entry with a declared key length of 0x7FFFFFFF is sufficient. Configured StreamReadConstraints, including maxStringLength, maxNameLength, maxDocumentLength and maxNestingDepth, do not prevent the failure. Applications running with -XX:+ExitOnOutOfMemoryError terminate the JVM.
This is the same integer-overflow pattern addressed for other call sites in the remediation associated with CVE-2026-104016 and CVE-2026-104017; the map-key call site was corrected on the 3.x branches only, leaving the corresponding 2.x branches unguarded. Release lines 2.18, 2.19 and 2.20 do not contain _readStringKey() and are not affected by this vector. No privileges or user interaction beyond the ability to submit data for parsing are required. The 3.0 release line and 3.1.0-3.1.5 / 3.2.0-3.2.1 do not contain _readStringKey() and are therefore not affected; the method first appears in 3.1.6 and 3.2.2, mirroring its introduction at 2.21.6 on the 2.x side.
Ne yapmalı?
- jackson-dataformat-protobuf kütüphanesini düzeltilmiş sürümlere yükseltin: 2.21.8, 2.22.4, 3.1.8 veya 3.2.4 (kullandığınız dala uygun olan). Üretici
- Güncellemeyi uyguladıktan sonra uygulamayı yeniden derleyin ve dağıtın; kullanılan sürümü doğrulayın. Genel öneri
- Yama uygulanana kadar protobuf verisini yalnızca güvenilir kaynaklardan kabul edin ve dışarıdan gelen isteklere hız sınırı ve boyut kısıtı uygulayın. Genel öneri
Ek önlemler
- Uygulamanın OutOfMemoryError durumlarını izleyin ve olağandışı bellek tüketimi veya tekrarlayan yeniden başlatmalar için uyarı kurun. Genel öneri
- Kütüphane bağımlılık ağaçlarını düzenli olarak tarayarak eski sürümlerin kalmadığını doğrulayın. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| FasterXML jackson-dataformat-protobuf | ≥ 2.21.6, < 2.21.8 | 2.21.8 |
| 2.21.8 Etkilenmiyor | – | |
| ≥ 2.22.0, < 2.22.4 | 2.22.4 | |
| 2.22.4 Etkilenmiyor | – | |
| ≥ 3.1.6, < 3.1.8 | 3.1.8 | |
| 3.1.8 Etkilenmiyor | – | |
| ≥ 3.2.2, < 3.2.4 | 3.2.4 | |
| 3.2.4 Etkilenmiyor | – |
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.