Apache IoTDB JDBC driver: уязвимость истощения памяти CVE-2026-41114
В Apache IoTDB JDBC driver обнаружена уязвимость неконтролируемого потребления ресурсов (CVE-2026-41114). Проблема затрагивает версии с 1.3.3 до 2.0.11 и связана с обработкой BigDecimal через toPlainString, что может привести к масштабному исчерпанию памяти. Разработчикам и администраторам рекомендуется обновить драйвер до версии 2.0.11.
Подробности
Уязвимости подвержены версии Apache IoTDB JDBC driver начиная с 1.3.3 и до 2.0.11 (исключая 2.0.11). Тип уязвимости — неконтролируемое потребление ресурсов (CWE-400), вызванное некорректной обработкой BigDecimal при вызове toPlainString. В результате злоумышленник или нештатный сценарий работы с данными может спровоцировать чрезмерное выделение памяти, что приводит к деградации производительности или отказу в обслуживании (DoS) процесса, использующего драйвер. Значение CVSS в исходной записи CVE не указано.Что делать
Разработчикам и администраторам, использующим Apache IoTDB JDBC driver, рекомендуется обновить компонент до версии 2.0.11, в которой проблема устранена. В качестве временной меры до обновления следует ограничить возможность передачи недоверенных данных в приложения, работающие с драйвером, контролировать потребление памяти процессами JVM и применять лимиты ресурсов на уровне контейнеров и сервисов. После обновления целесообразно проверить журналы на предмет аномального роста памяти и убедиться, что используется исправленная версия драйвера во всех зависимостях. Итог: CVE-2026-41114 — уязвимость истощения памяти в Apache IoTDB JDBC driver, затрагивающая версии с 1.3.3 до 2.0.11. Единственная надёжная мера устранения — переход на версию 2.0.11; до обновления стоит усилить контроль за потреблением памяти и ограничить работу с недоверенными данными.Источник: CVE Project (cvelistV5)