🇰🇷 한글 설명
Aircompressor 3.3 이하 버전의 Snappy 및 LZ4 Java 기반 압축 해제 구현에서 잘못된 데이터 처리로 인해 정보 유출 취약점이 발생합니다. 공격자가 조작된 압축 데이터를 전송하면 이전 버퍼의 내용이 압축 해제된 결과물에 포함되어 민감한 데이터가 노출될 수 있습니다.
💡 쉬운 설명
압축을 푸는 과정에서 이전 데이터가 제대로 지워지지 않아, 새로운 데이터를 풀 때 예전의 중요한 정보가 섞여 나오는 문제입니다. 이를 통해 해커가 서버 메모리에 남아있던 비밀번호나 개인정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Aircompressor is a library with ports of the Snappy, LZO, LZ4, and Zstandard compression algorithms to Java. In versions 3.3 and below, incorrect handling of malformed data in Java-based decompressor implementations for Snappy and LZ4 allow remote attackers to read previous buffer contents via crafted compressed input. With certain crafted compressed inputs, elements from the output buffer can end up in the uncompressed output, potentially leaking sensitive data. This is relevant for applications that reuse the same output buffer to uncompress multiple inputs. This can be the case of a web server that allocates a fix-sized buffer for performance purposes. There is similar vulnerability in GHSA-cmp6-m4wj-q63q. This issue is fixed in version 3.4.
📍 영향받는 시스템
Aircompressor 3.3 및 그 이하 모든 버전
⚔️ 공격 벡터
조작된 압축 데이터를 전송하여 압축 해제 시 버퍼 잔류 데이터를 유도하는 방식
🛡️ 대응 방법
Aircompressor를 3.4 버전 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 aircompressor의 버전이 3.4 미만인지 확인하십시오.
mvn dependency:list | grep aircompressor