- Yama var
- Son 7 gün
- CWE-190
CVE-2026-116591
klauspost compress zstd kütüphanesinde iki bloklu çerçevelerde panik durumu
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
compress, çeşitli sıkıştırma algoritmaları sunar. 1.20.2 sürümünden önce, zstd DecodeAll ve akış çözücü yolları, özenle hazırlanmış iki bloklu bir çerçeve huff0.ReadTable fonksiyonuna ulaştığında panik oluşabilir; bu durumda readNCount, FSE normalleştirilmiş sayısı olan 32768 değerini int16 içinde -32768 olarak saklar. Sarmalanmış bu sayı, buildDtable fonksiyonunun önceki bloktan kalan eski fse.Scratch çözme tablosu durumunu korumasına izin verir; ardından nextFast geçersiz bir durum türetir ve bir hata döndürmek yerine tablonun sınırlarının dışına erişir. Eski durumun korunması ve yeniden kullanılması için her iki bloğun da gerekli olması, güvenilmeyen zstd girdisinin bir uygulamayı çökertmesine olanak tanır. Bu sorun 1.20.2 sürümünde giderilmiştir.
Kaynaktaki açıklama (İngilizce)
compress provides various compression algorithms. Prior to 1.20.2, the zstd DecodeAll and streaming decoder paths can panic when a crafted two-block frame reaches huff0.ReadTable with an FSE normalized count of 32768 that readNCount stores in int16 as -32768. The wrapped count allows buildDtable to retain stale fse.Scratch decode-table state from the prior block, and nextFast then derives an out-of-range state and indexes beyond the table instead of returning a decode error. Both blocks are required to preserve and then reuse the stale state, allowing untrusted zstd input to crash an application. This issue is fixed in version 1.20.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| klauspost compress | < 1.20.2 | 1.20.2 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.