Bug 56306 - StackOverflowError при парсинге вложенных групп
Summary: StackOverflowError при парсинге вложенных групп
Status: ASSIGNED
Alias: None
Product: Sisyphus
Classification: Development
Component: protobuf (show other bugs)
Version: unstable
Hardware: x86_64 Linux
: P5 normal
Assignee: manowar@altlinux.org
QA Contact: qa-sisyphus
URL:
Keywords:
Depends on:
Blocks:
 
Reported: 2025-10-07 18:31 MSK by Vladislav Glinkin
Modified: 2025-10-07 19:05 MSK (History)
21 users (show)

See Also:

Attachments
скрипт (3.74 KB, application/x-shellscript)
2025-10-07 18:31 MSK, Vladislav Glinkin 		no flags Details
View All Add an attachment (proposed patch, testcase, etc.)

Note You need to log in before you can comment on or make changes to this bug.
Description Vladislav Glinkin 2025-10-07 18:31:21 MSK 
Created attachment 19719 [details]
скрипт

Версия пакета: protobuf-java-3.25.5-alt6

Шаги воспроизведения:
1) Выполнить скрипт из вложения:
$ ./exploit_cve_2024_7254_option1.sh

Фактический результат:
java.lang.StackOverflowError
        at java.base/java.lang.ClassLoader.addClass(ClassLoader.java:322)
        at java.base/java.lang.ClassLoader.defineClass1(Native Method)
        at java.base/java.lang.ClassLoader.defineClass(ClassLoader.java:1027)
...

Ожидаемый результат:
Выполнение без ошибок

Дополнительно:
На версии из p10 (protobuf-java-3.16.0-alt1.p10.4 (p10+382451.200.5.1)) данное поведение не воспроизводится. Складывается впечатление, будто пакет уязвим для CVE-2024-7254.
Comment 1 manowar@altlinux.org 2025-10-07 19:05:24 MSK 
Спасибо за сообщение! А как будто специально исправляли...