Une trame zstd spécialement construite en deux blocs peut provoquer un panic dans le décodeur plutôt qu’une erreur de décodage. Une application qui décompresse des entrées non fiables peut ainsi être arrêtée; la version corrigée est 1.20.2.
Source : GHSA-fpmh-frq8-7rj8 — compress zstd: Panic on two-block frames
Analyse technique
Le défaut implique le décodage FSE des poids de la table Huffman : une valeur de comptage débordante et l’état réutilisé entre blocs peuvent produire une entrée de table invalide, puis un accès hors limites qui déclenche un panic.
Impact, versions et correctif
Détection / vérification
Repérer les applications Go utilisant `github.com/klauspost/compress/zstd` pour décompresser des données non fiables et vérifier leur version. Les tests indiquent que les versions 1.20.0 et 1.20.1 sont affectées.
Action recommandée
Mettre à niveau `github.com/klauspost/compress` vers la version 1.20.2 ou ultérieure, en particulier dans les applications qui décompressent des données zstd non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).