CVE-2026-103501: estouro de buffer na desserialização de HLL CouponList do Apache DataSketches

Em 10 de outubro de 2026, Lee Rhodes publicou na lista oss-sec um aviso para a vulnerabilidade CVE-2026-103501, classificada como de gravidade moderada. O problema afeta a desserialização de HLL sketch do Apache DataSketches C++ (repositório datasketches-cpp). Segundo o texto disponível no feed, ao desserializar um sketch em modo LIST, a partir de um buffer de bytes ou de um fluxo, a contagem de cupons é lida da entrada e usada como número de elementos a copiar para um buffer fixo de 8 entradas, sem verificar se o valor excede esse limite. O resultado descrito é corrupção de memória. As versões afetadas vão de 1.0.0-incubating até 5.2.0. O texto que recebemos é uma tradução automática e foi truncado na descrição, por isso a leitura completa deve ser feita na mensagem original em inglês, cujo endereço consta na fonte e não é reproduzido aqui. Para quem usa a biblioteca, a recomendação prática é verificar no próprio inventário de dependências se há versão afetada, consultar as notas de correção do projeto e atualizar. Sketches recebidos de origens não confiáveis devem ser tratados como dados de entrada hostis até a atualização.