Apache Commons Compress 1.0 to 1.20 denial of service vulnerability
When reading a specially crafted ZIP archive, Compress can be made to allocate large amounts of memory that finally leads to an out of memory error even for very small inputs. This could be used to mount a denial of service attack against services that use Compress' zip package.
- Yayın
- 13 Tem 2021
- Güncelleme
- 16 Haz 2026
- EPSS
- %12,9 · 96. yüzdelik
- CWE
- CWE-130
Takip etmek için giriş yap · Takip ettiğin kayıt KEV’e girer, istismarı çıkar ya da güncellenirse bildirim alırsın.
Rapor araçları
Aksiyon skoru
34
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 30 / 40 · 7.5 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 4 / 30 · %12,9
Etkilenen sistemler
| Üretici | Ürün | CPE |
|---|---|---|
| apache | commons compress | cpe:2.3:a:apache:commons_compress |
| oracle | banking apis | cpe:2.3:a:oracle:banking_apis |
| oracle | banking digital experience | cpe:2.3:a:oracle:banking_digital_experience |
| oracle | banking enterprise default management | cpe:2.3:a:oracle:banking_enterprise_default_management |
| oracle | banking party management | cpe:2.3:a:oracle:banking_party_management |
| oracle | banking payments | cpe:2.3:a:oracle:banking_payments |
| oracle | banking platform | cpe:2.3:a:oracle:banking_platform |
| oracle | banking trade finance | cpe:2.3:a:oracle:banking_trade_finance |
| oracle | banking treasury management | cpe:2.3:a:oracle:banking_treasury_management |
| oracle | business process management suite | cpe:2.3:a:oracle:business_process_management_suite |
| oracle | commerce guided search | cpe:2.3:a:oracle:commerce_guided_search |
| oracle | communications billing and revenue management | cpe:2.3:a:oracle:communications_billing_and_revenue_management |
ve 22 kayıt daha
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.
- apache commons compress1.0 ve sonrası · 1.21 öncesi
- netapp active iq unified managertüm sürümler
- netapp oncommand insighttüm sürümler
- oracle banking apis18.1 ve sonrası · 18.3 dahil
- oracle banking apis19.1
- oracle banking apis19.2
- oracle banking apis20.1
- oracle banking apis21.1
- oracle banking digital experience18.1 ve sonrası · 18.3 dahil
- oracle banking digital experience19.1
- oracle banking digital experience19.2
- oracle banking digital experience20.1
- oracle banking digital experience21.1
- oracle banking enterprise default management2.7.0
- oracle banking party management2.7.0
- oracle banking payments14.5
- oracle banking platform2.12.0
- oracle banking platform2.6.2
- oracle banking platform2.7.1
- oracle banking platform2.9.0
Üreticinin bildirdiği sürümler
Kaydı açan otorite (apache) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Apache Software Foundation Apache Commons Compress
- Apache Commons Compress ve sonrası · 1.20 dahil öncesietkilenir
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Debian:12 | libcommons-compress-java | 1.21-1 öncesi | 1.21-1 |
| Maven | org.apache.commons:commons-compress | 1.21 öncesi | 1.21 |
| openSUSE:Leap 15.2 | apache-commons-compress | 1.21-lp152.2.3.1 öncesi | 1.21-lp152.2.3.1 |
| openSUSE:Leap 15.3 | apache-commons-compress | 1.21-3.3.1 öncesi | 1.21-3.3.1 |
| openSUSE:Tumbleweed | apache-commons-compress | 1.21-1.2 öncesi | 1.21-1.2 |
| Red Hat:rhev_manager:4.4:el8 | apache-commons-compress | 0:1.21-1.2.el8ev öncesi | 0:1.21-1.2.el8ev |
| Red Hat:rhev_manager:4.4:el8 | apache-commons-compress-javadoc | 0:1.21-1.2.el8ev öncesi | 0:1.21-1.2.el8ev |
| Red Hat:rhev_manager:4.4:el8 | ovirt-dependencies | 0:4.5.2-1.el8ev öncesi | 0:4.5.2-1.el8ev |
| Red Hat:rhev_manager:4.4:el8 | ovirt-web-ui | 0:1.9.0-1.el8ev öncesi | 0:1.9.0-1.el8ev |
| SUSE:Linux Enterprise Module for Development Tools 15 SP2 | apache-commons-compress | 1.21-3.3.1 öncesi | 1.21-3.3.1 |
Aynı üründe
apache: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2019-12402The file name encoding algorithm used internally in Apache Commons Compress 1.15 to 1.18 can get into an infinite loop when faced with speci35İzleyin
- CVE-2021-35516Apache Commons Compress 1.6 to 1.20 denial of service vulnerability34İzleyin
- CVE-2021-35517Apache Commons Compress 1.1 to 1.20 denial of service vulnerability33İzleyin
- CVE-2021-35515Apache Commons Compress 1.6 to 1.20 denial of service vulnerability33İzleyin
- CVE-2018-11771When reading a specially crafted ZIP archive, the read method of Apache Commons Compress 1.7 to 1.17's ZipArchiveInputStream can fail to ret24İzleyin
- CVE-2012-2098Algorithmic complexity vulnerability in the sorting algorithms in bzip2 compressing stream (BZip2CompressorOutputStream) in Apache Commons C24İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| debian:libcommons-compress-java | 1.21-1 · Debian:12 | Paket deposu (OSV) |
| Maven:org.apache.commons:commons-compress | 1.21 | Paket deposu (OSV) |
| opensuse:apache-commons-compress | 1.21-lp152.2.3.1 · openSUSE:Leap 15.2 | Paket deposu (OSV) |
| red hat:apache-commons-compress | 0:1.21-1.2.el8ev · Red Hat:rhev_manager:4.4:el8 | Paket deposu (OSV) |
| red hat:apache-commons-compress-javadoc | 0:1.21-1.2.el8ev · Red Hat:rhev_manager:4.4:el8 | Paket deposu (OSV) |
| red hat:ovirt-dependencies | 0:4.5.2-1.el8ev · Red Hat:rhev_manager:4.4:el8 | Paket deposu (OSV) |
| red hat:ovirt-web-ui | 0:1.9.0-1.el8ev · Red Hat:rhev_manager:4.4:el8 | Paket deposu (OSV) |
| suse:apache-commons-compress | 1.21-3.3.1 · SUSE:Linux Enterprise Module for Development Tools 15 SP2 | Paket deposu (OSV) |
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıkla, aynı araştırmacının diğer kayıtlarını gör.
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
Gece hesaplanan ilişki yok.
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- İnternetten erişebilen herkes tetikleyebilir.
- Hesap ya da parola gerekmez.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yok
- Bütünlük
- yok
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Ağ
- Karmaşıklık
- Düşük
- Gereken yetki
- Yok
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yok
- Bütünlük etkisi
- Yok
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
CWE-130 · Improper Handling of Length Parameter InconsistencyCVSS vektörü
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Saldırı desenleri (CAPEC)
ATT&CK teknikleri
—
Noroxi analizi
Bu kayıt için henüz Noroxi analizi yok
385 binden fazla zafiyetin tamamına elle analiz yazmıyoruz; bu dürüst olmazdı. Öne çıkan ve sahada etkisi olan zafiyetler için mekanizma, tespit ve kapatma adımlarını ekibimiz yazıyor.
Bu ürünü kullanıyoruz, yardım isteyinDeğişiklik günlüğü
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
- www.openwall.com/lists/oss-security/2021/07/13/4
- www.openwall.com/lists/oss-security/2021/07/13/6
- commons.apache.org/proper/commons-compress/security-reports.html
- lists.apache.org/thread.html/r0e87177f8e78b4ee453cd4d3d8f4ddec6f10d2c27707dd71e12cafc9%40%3Cannounce.apache.org%3E
- lists.apache.org/thread.html/r25f4c44616045085bc3cf901bb7e68e445eee53d1966fc08998fc456%40%3Cdev.drill.apache.org%3E
- lists.apache.org/thread.html/r3227b1287e5bd8db6523b862c22676b046ad8f4fc96433225f46a2bd%40%3Cissues.drill.apache.org%3E
- lists.apache.org/thread.html/r4f03c5de923e3f2a8c316248681258125140514ef3307bfe1538e1ab%40%3Cdev.drill.apache.org%3E
- lists.apache.org/thread.html/r54049b66afbca766b6763c7531e9fe7a20293a112bcb65462a134949%40%3Ccommits.drill.apache.org%3E
- lists.apache.org/thread.html/r67ef3c07fe3b8c1b02d48012149d280ad6da8e4cec253b527520fb2b%40%3Cdev.poi.apache.org%3E
- lists.apache.org/thread.html/r75ffc7a461e7e7ae77690fa75bd47bb71365c732e0fbcc44da4f8ff5%40%3Cdev.tomcat.apache.org%3E
- lists.apache.org/thread.html/r9a23d4dbf4e34d498664080bff59f2893b855eb16dae33e4aa92fa53%40%3Cannounce.apache.org%3E
- lists.apache.org/thread.html/r9f54c0caa462267e0cc68b49f141e91432b36b23348d18c65bd0d040%40%3Cnotifications.skywalking.apache.org%3E
- lists.apache.org/thread.html/rab292091eadd1ecc63c516e9541a7f241091cf2e652b8185a6059945%40%3Ccommits.druid.apache.org%3E
- lists.apache.org/thread.html/racd0c0381c8404f298b226cd9db2eaae965b14c9c568224aa3f437ae%40%3Cnotifications.skywalking.apache.org%3E
- lists.apache.org/thread.html/rb064d705fdfa44b5dae4c366b369ef6597951083196321773b983e71%40%3Ccommits.pulsar.apache.org%3E
- lists.apache.org/thread.html/rb5fa2ee61828fa2e42361b58468717e84902dd71c4aea8dc0b865df7%40%3Cnotifications.james.apache.org%3E
- lists.apache.org/thread.html/rb6e1fa80d34e5ada45f72655d84bfd90db0ca44ef19236a49198c88c%40%3Cnotifications.skywalking.apache.org%3E
- lists.apache.org/thread.html/rb7adf3e55359819e77230b4586521e5c6874ce5ed93384bdc14d6aee%40%3Cnotifications.skywalking.apache.org%3E
- lists.apache.org/thread.html/rba65ed5ddb0586f5b12598f55ec7db3633e7b7fede60466367fbf86a%40%3Cnotifications.skywalking.apache.org%3E
- lists.apache.org/thread.html/rbbf42642c3e4167788a7c13763d192ee049604d099681f765385d99d%40%3Cdev.drill.apache.org%3E
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.