RUSTSEC-2026-0402
Heap buffer overflow in `CCtx::try_clone` on a multithreaded context
CVSS 3.1SCORE
N/A/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 8.2.0
Обновите zstd. В патче запрещен вызов `try_clone` и `compress_block` при установленном параметре `NbWorkers` на контексте.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Переполнение кучи в методе `CCtx::try_clone` при работе с многопоточным контекстом сжатия zstd.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Функция `CCtx::try_clone` копирует таблицы размеров, заданных параметрами контекста. Инициализация многопоточного кадра (`zstdmt`) перезаписывает параметры контекста значениями воркеров без изменения размера внутренних таблиц. В результате после прерванного однопоточного кадра последующее копирование читает или пишет за пределами выделенного буфера кучи до 512 КиБ.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Запись и чтение за границами буфера кучи (Heap Out-of-Bounds Read/Write), что приводит к повреждению памяти или аварийному завершению процесса (DoS).
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
——
>= 4.1.4➔Fix: 8.2.0
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости RUSTSEC-2026-0402: Heap buffer overflow in `CCtx::try_clone` on a multithreaded context. URL: https://cve.futuretools.ru/cve/RUSTSEC-2026-0402
BibTeX формат (LaTeX)
@misc{cve_futuretools_rustsec_2026_0402,
title = {{RUSTSEC-2026-0402: Heap buffer overflow in `CCtx::try_clone` on a multithreaded context}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/RUSTSEC-2026-0402}},
note = {Оперативный инженерный анализ киберугроз}
}