⚠️ ช่องโหว่ร้ายแรงใน lz4-java (CVE-2025-66566) ทำข้อมูลรั่วจากหน่วยความจำ มีการค้นพบช่องโหว่ร้ายแรงใน lz4-java ซึ่งเป็นไลบรารี Java สำหรับการบีบอัดข้อมูลด้วยอัลกอริทึม LZ4 โดยช่องโหว่นี้ถูกระบุว่า CVE-2025-66566 และได้รับคะแนนความรุนแรง CVSS 8.2 ถือว่าเป็นภัยคุกคามต่อความลับของข้อมูลอย่างมีนัยสำคัญ ปัญหาหลักเกิดจากการที่ output buffer ไม่ถูกเคลียร์อย่างเหมาะสม ระหว่างการดีบีบอัดข้อมูล ทำให้ผู้โจมตีสามารถสร้าง input ที่ถูกปรับแต่งเพื่อบังคับให้ตัวถอดรหัสอ่านข้อมูลจากหน่วยความจำที่ยังไม่ได้ถูกใช้งาน ซึ่งอาจมีข้อมูลสำคัญจากการทำงานก่อนหน้า เช่น รหัสผ่าน, คีย์เข้ารหัส, หรือข้อมูลผู้ใช้ การโจมตีสามารถเกิดขึ้นได้ในหลายกรณี โดยเฉพาะเมื่อแอปพลิเคชันเลือกใช้ การ recycle buffer เพื่อประหยัดหน่วยความจำ ซึ่งจะทำให้ข้อมูลเก่าที่ไม่ได้ถูกล้างออกยังคงอยู่และถูกส่งออกมาเป็นผลลัพธ์การดีบีบอัดโดยไม่ตั้งใจ ข่าวดีคือทีมพัฒนาได้ออกแพตช์แก้ไขแล้วในเวอร์ชัน lz4-java 1.10.1 โดยไม่ต้องเปลี่ยนโค้ดของผู้ใช้ หากไม่สามารถอัปเดตได้ทันที ยังสามารถลดความเสี่ยงได้ด้วยการ zeroing buffer ก่อนใช้งาน เพื่อป้องกันการรั่วไหลของข้อมูล 📌 สรุปประเด็นสำคัญ ✅ ช่องโหว่ CVE-2025-66566 ใน lz4-java ➡️ เกิดจากการไม่เคลียร์ output buffer อย่างถูกต้อง ✅ ผลกระทบที่อาจเกิดขึ้น ➡️ รหัสผ่าน, คีย์เข้ารหัส และข้อมูลผู้ใช้ อาจรั่วไหลออกมา ✅ เวอร์ชันที่ได้รับผลกระทบ ➡️ lz4-java 1.10.0 และเวอร์ชันก่อนหน้า ✅ การแก้ไขที่ปลอดภัย ➡️ อัปเดตเป็น lz4-java 1.10.1 หรือทำการ zeroing buffer ก่อนใช้งาน ‼️ ความเสี่ยงต่อระบบที่ recycle buffer ⛔ อาจทำให้ข้อมูลเก่าถูกส่งออกโดยไม่ตั้งใจ ‼️ ความเข้าใจผิดของนักพัฒนา ⛔ การใช้ fastestInstance() อาจยังคง fallback ไปใช้โค้ด Java ที่มีช่องโหว่ หาก JNI ไม่รองรับ https://securityonline.info/high-severity-lz4-java-flaw-cve-2025-66566-leaks-uninitialized-memory-during-decompression/