CVE-2026-103634: leitura e gravação fora dos limites na desserialização de Count-Min sketch

Segundo o aviso publicado por Lee Rhodes em 10 de outubro de 2026 no feed oss-sec, a falha de gravidade moderada afeta o Apache DataSketches da versão 4.1.0 até a 5.2.0, no repositório datasketches-cpp. O problema está em count_min_sketch::deserialize(), que não incluía o preâmbulo na verificação do tamanho da entrada. Com um sketch truncado, a leitura pode ultrapassar o fim da entrada em até 16 bytes. O aviso também indica que o tamanho da tabela era calculado a partir de um valor que o texto disponível não detalha por completo. O conteúdo recebido é uma tradução automática e foi cortado antes do fim, por isso este resumo se limita aos dados informados. Para conferir a análise completa, a lista de correções e a orientação do projeto, consulte o aviso original citado no próprio feed oss-sec. Para verificar sua exposição, confirme a versão do Apache DataSketches em seus ambientes e compare com o intervalo afetado.