FICHE CVE

CVE-2026-108104

Publiée le 2026-10-09 · Dernière modification le 2026-10-14

🇫🇷 EN BREF

Les applications Java utilisant la bibliothèque Xerial snappy-java (versions 1.1.7.4 à 1.1.10.9) pour la décompression de données sont concernées. Un attaquant peut envoyer des données encadrées spécialement conçues pour déclencher une erreur de mémoire, lui permettant potentiellement de lire ou d'écraser des données provenant d'autres flux de décompression actifs. Cette opération peut être exécutée à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur.

CVSS 4.06.3 MOYENNE

Type de faiblesse

Double libération (double free) · CWE-415

Publiée2026-10-09

Dernière modification2026-10-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Xerial snappy-java from 1.1.7.4 before 1.1.10.10 contains a double release vulnerability in SnappyFramedInputStream that returns pooled buffers twice when replacement allocation fails. Attackers can supply framed data with a large declared chunk length to trigger OutOfMemoryError, causing shared backing arrays that expose or overwrite other streams' decompressed data.