CVE-2021-35517CWE-130

Apache Commons Compress 1.1 to 1.20 denial of service vulnerability

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackepss 11%

probabilidad de explotación

11%top 5% de las CVE

explotación observada

noninguna fuente lo reporta

En resumen

Un archivo TAR especialmente diseñado puede obligar a Apache Commons Compress a consumir una cantidad excesiva de memoria y causar que la aplicación falle, incluso con archivos muy pequeños. Esto permite que atacantes inhabiliten servicios que procesan archivos TAR.

Detalle técnico

Vulnerabilidad CWE-130 en Apache Commons Compress 1.1-1.20 donde archivos TAR maliciosos desencadenan asignación de memoria ilimitada durante el análisis, provocando condiciones de falta de memoria. Vector de ataque es carga de archivo; sin autenticación requerida. Impacto es denegación de servicio.

Resumen generado y traducido por IA a partir de la descripción oficial.

When reading a specially crafted TAR archive, Compress can be made to allocate large amounts of memory that finally leads to an out of memory error even for very small inputs. This could be used to mount a denial of service attack against services that use Compress' tar package.

Productos afectados

Apache Software Foundation · Apache Commons Compress

Referencias