CVE-2026-103636: leitura fora dos limites em desserialização VarOpt do Apache DataSketches

O aviso, publicado por Lee Rhodes em 10 de outubro na lista oss-sec e traduzido automaticamente no feed, descreve a CVE-2026-103636 no Apache DataSketches C++ (repositório datasketches-cpp). Versões afetadas: do 2.0.0-incubating até a 5.2.0. A gravidade informada é baixa. O problema está em var_opt_union::deserialize(): a rotina lia o preâmbulo de 32 bytes de uma união não vazia depois de verificar que apenas 8 bytes estavam disponíveis. Assim, uma união serializada truncada pode causar leitura de até 24 bytes além do fim da entrada, resultando em negação de serviço. O texto do feed parece truncado, então detalhes adicionais, como a versão corrigida, devem ser conferidos na fonte original. Relevância: sistemas que desserializam dados de origem não confiável podem ser afetados. Como verificar: confirme se sua aplicação depende do datasketches-cpp, identifique a versão em uso e consulte o aviso oficial do projeto Apache para a versão corrigida. A Rota Nacional não corrige bibliotecas de terceiros e este aviso não envolve um recurso da plataforma.