Cyber ·
CVE-2026-123274: gravação fora dos limites na desserialização de sketch KLL no Apache DataSketches C++
Advisory de severidade moderada publicado no oss-sec em 12 de novembro: sketch KLL malicioso pode corromper a memória heap ao ser desserializado no Apache DataSketches C++, versões 2.0.0-incubating a 5.3.0.
O Radar registra o advisory CVE-2026-123274, sobre o Apache DataSketches C++. Segundo o texto recebido, a vulnerabilidade é de gravação fora dos limites e foi publicada por Lee Rhodes em 12 de novembro de 2026, com severidade classificada como moderada. As versões afetadas informadas vão da 2.0.0-incubating até a 5.3.0. A descrição diz que um aplicativo que desserialize um sketch KLL vindo de uma origem não confiável pode ter a memória heap corrompida por um sketch construído para esse fim, porque os limites dos níveis serializados não são validados.
O texto recebido é uma tradução automática do conteúdo do feed oss-sec e está truncado, por isso não traz orientações completas de correção nem detalhes adicionais sobre versões corrigidas. Para consultar a fonte original, procure o identificador CVE-2026-123274 e a mensagem do oss-sec de 12 de novembro de 2026 no arquivo público da lista. Confira também as notas do projeto Apache DataSketches e a base oficial de CVEs antes de aplicar qualquer decisão.
A relevância para quem usa a biblioteca é verificar se alguma aplicação desserializa sketches de fontes não confiáveis e atualizar para uma versão corrigida assim que o projeto a publicar. Esse tipo de falha não é um problema de privacidade da plataforma Rota Nacional, e o Rota não corrige bibliotecas de terceiros.