MessagePack for C# は C# 用の MessagePack シリアライザです。バージョン 2.5.301 および 3.1.7 より前のバージョンには、MessagePack の圧縮モードである Lz4Block と Lz4BlockArray で使用されるオプションの LZ4 解凍パスに脆弱性があります。デコーダ実装は、ソース長の境界を考慮しない非推奨の高速解凍アルゴリズムに基づいています。リモートの攻撃者は、LZ4 のトークンや長さフィールドを改ざんした細工された MessagePack ペイロードを送信することで、圧縮入力バッファからの境界外読み取りを強制できます。影響を受ける環境では、解凍中に AccessViolationException が発生し、プロセスが終了してサービス拒否となる可能性があります。場合によっては、失敗前に読み過ぎたデータから限定的な意図しないメモリ情報が漏洩することもあります。この脆弱性はバージョン 2.5.301 および 3.1.7 で修正されています。

ベンダ情報を参照して適切な対策を実施してください。