关键漏洞信息 漏洞标题 Decompression codecs vulnerable to DoS via zip bomb style attack 影响版本 : <= 4.1.124.Final : <= 4.2.4.Final 修复版本 : 4.1.125.Final : 4.2.5.Final 严重性 CVSS v4 基本指标: 6.9/10 攻击向量: 网络 攻击复杂度: 低 攻击需求: 无 特权要求: 无 用户交互: 无 可用性影响: 低 描述 摘要: 特殊制作的输入会导致 BrotliDecoder 和其他解压缩解码器分配大量可访问的字节缓冲区，从而导致服务拒绝。 详细信息: BrotliDecoder.decompress 在调用 pull! 时没有限制，每次解压缩 64K 字节的数据。缓冲区保存在输出列表中，并保持可访问状态直到 OOM 击中。这基本上是一个 zip bomb。 PoC 运行此测试用例并使用 ： 错误信息 影响 对任何使用 BrotliDecoder 处理不受信任输入的人造成 DoS。