Cyber ·
CVE-2026-123338: gravação fora dos limites na desserialização de sketch REQ no Apache DataSketches C++
Advisório de severidade moderada: um sketch REQ malicioso pode corromper a memória heap durante a desserialização no Apache DataSketches C++ nas versões 3.0.0 a 5.3.0, porque os cabeçalhos do compactador não são validados.
O aviso descreve uma vulnerabilidade de gravação fora dos limites no Apache DataSketches C++, biblioteca de estruturas probabilísticas usadas para estimativas em grandes volumes de dados. Segundo o texto, a falha afeta as versões 3.0.0 a 5.3.0 e tem severidade moderada. Um aplicativo que desserialize um sketch REQ vindo de uma origem não confiável pode ter a memória heap corrompida por um sketch criado para esse fim, porque os cabeçalhos do compactador serializados não foram validados. O material foi publicado na lista oss-sec em 12 de novembro e reproduzido no feed de segurança com data de 13 de novembro de 2026. O texto disponível é uma tradução automática e termina de forma incompleta, então a orientação oficial de correção deve ser conferida na fonte original e nas notas de versão do projeto Apache. A Rota Nacional não corrige bibliotecas de terceiros e não se apresenta como solução para este problema de engenharia. Para equipes que usam a biblioteca, a medida básica é identificar se alguma versão afetada está em produção, atualizar para uma versão corrigida assim que o projeto indicar, e evitar desserializar dados de origens não confiáveis até a correção. Quando o tema não tem vínculo direto com dados pessoais, a proteção do dado da organização depende de controles próprios do sistema. Se a equipe usar IA para estudar o aviso ou gerar código de correção, não cole trechos com dados reais de clientes, credenciais ou caminhos internos.