CVE-2026-116590— snappy-java 数组越界导致 JVM 崩溃漏洞
一分钟漏洞结论
影响对象
xerial snappy-java
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
snappy-java 是 Google 开发的快速 C++ 压缩/解压缩工具 Snappy 的 Java 移植版本。在 1.1.10.9 版本之前，Snappy.arrayCopy(Object src, int offset, int byteLength, Object dest, int destOffset) 方法在将调用方提供的范围传递给原生 memcpy 函数时，未对源数组和目标数组进行任何验证。这导致负数或过大的 byteLength 和 offset 值能够读取或写入数组边界之外，进而引发 JVM
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-116590 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
snappy-java: JVM crash from unchecked ranges in Snappy.arrayCopy and SnappyOutputStream.rawWrite
来源: CVE Program / CVE List V5
Vulnerability Description
snappy-java is a Java port of the snappy, a fast C++ compresser/decompresser developed by Google. Prior to 1.1.10.9, Snappy.arrayCopy(Object src, int offset, int byteLength, Object dest, int destOffset) passes caller-supplied ranges to native memcpy without validating either array, allowing negative or oversized byteLength and offset values to read or write outside array bounds and crash the JVM. SnappyOutputStream.rawWrite and SnappyInputStream.rawRead, including their typed-array write and read methods, pass caller-controlled ranges through this primitive, and typed-array byte-size calculations can overflow int. This issue is fixed in version 1.1.10.9.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
对数组索引的验证不恰当
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| xerial | snappy-java | < 1.1.10.9 | - |
|
二、漏洞 CVE-2026-116590 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-116590 的情报信息
请登录查看更多情报信息。
CVE-2026-116590 厂商页面 (1)
-
🔗 Release v1.1.10.9 · xerial/snappy-java · GitHub x_refsource_MISC
CVE-2026-116590 其他参考 (3)
-
https://github.com/xerial/snappy-java/pull/741 x_refsource_MISC
-
https://github.com/xerial/snappy-java/security/advisories/GHSA-xqrx-qh46-34m7 x_refsource_CONFIRM