Guava の CompactHashMap などで、72バイトのシリアライズデータから巨大なメモリ確保

何が起きたか

CompactHashMap、CompactHashSet、MapMakerInternalMap の readObject がストリーム中の要素数を検証せずに配列を確保するため、約72バイトの細工したデータで数GBの確保が起き、JVM が OutOfMemoryError で落ちます。攻撃者が届けられるデータを ObjectInputStream.readObject() で読むアプリは、期待する型にかかわらず Guava がクラスパスにあるだけで対象になります。