ManifestVersionReader leaks a ZipFile Inflater per JAR (openStream never closed)

Geschlossen

#6,120 erstellt am 16.9.2026 2 Kommentare 0 Reaktionen 1 zugewiesene Person Auf GitHub ansehen

@0xadam-brown arbeitet bereits daran.

Seit 16.9.2026.

Bewertung

Dieses Issue wurde noch nicht bewertet.

Beschreibung

Platform: Java Type: Bug

Description

ManifestVersionReader.readManifestFiles() enumerates every META-INF/MANIFEST.MF on the classpath and passes URL.openStream() into new Manifest(InputStream) without closing the stream.

java.util.jar.Manifest(InputStream) reads the stream and does not close it. For jar: URLs that stream is a ZipFileInflaterInputStream. Closing it is what calls ZipFile$CleanableResource.releaseInflater(). If it is never closed, each JAR leaves a live java.util.zip.Inflater (~64 KiB zlib window).

This still matches main and 8.41.0 / 8.52.0.

Call site

final Enumeration<URL> resources =
    ClassLoader.getSystemClassLoader().getResources("META-INF/MANIFEST.MF");
while (resources.hasMoreElements()) {
  try {
    final Manifest manifest = new Manifest(resources.nextElement().openStream());
    // ...
  } catch (Exception e) {
    // ignore
  }
}

Triggered from ManifestVersionDetector.checkForMixedVersions() → InitUtil.shouldInit() → Sentry.init().

Observed

Compose Desktop / packaged JVM app with ~80 JARs on the classpath (sentry-java 8.41.0):

GC.class_histogram: 168 live java.util.zip.Inflater
async-profiler event=java.util.zip.Inflater.<init> from process start: 79 / 174 constructors (45%) are

java.util.zip.Inflater.<init>
java.util.zip.ZipFile$CleanableResource.getInflater
java.util.zip.ZipFile$ZipFileInflaterInputStream.<init>
java.util.zip.ZipFile.getInputStream
java.util.jar.JarFile.getBytes
java.util.jar.JarFile.checkForSpecialAttributes
java.util.jar.JarFile.isMultiRelease
java.util.jar.JarFile.getEntry
sun.net.www.protocol.jar.URLJarFile.getEntry
sun.net.www.protocol.jar.JarURLConnection.connect
sun.net.www.protocol.jar.JarURLConnection.getInputStream
java.net.URL.openStream
io.sentry.internal.ManifestVersionReader.readManifestFiles
io.sentry.ManifestVersionDetector.checkForMixedVersions
io.sentry.util.InitUtil.shouldInit
io.sentry.Sentry.init

Suggested fix

try (InputStream is = resources.nextElement().openStream()) {
  final Manifest manifest = new Manifest(is);
  // existing attribute handling
} catch (Exception e) {
  // ignore
}

Manifest does not take ownership of the stream, so try-with-resources is required even on the success path.

Vorherrschende Sprache: Kotlin
Sterne: 1.4k
Forks: 478
Ø Merge: 2 T. 20 Std.
Gemergte PRs (30 T.): 71

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus getsentry/sentry-java

Make tombstone merge timestamp threshold configurable Offen

Improvement Java Platform: Android Platform: Java

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100

getsentry/sentry-java#6145 · 1 Kommentar · 1 zugewiesene Person · Erstellt am 22.9.2026
Gate OkHttp body capture on active Session Replay Offen

Bug Java Platform: Android Platform: Java

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

getsentry/sentry-java#6138 · 1 Kommentar · Erstellt am 21.9.2026
Add policy-controlled URL query data to Ktor client spans Offen

Feature Java Platform: Java Spans

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

getsentry/sentry-java#5984 · 1 Kommentar · Erstellt am 24.8.2026
Make Standalone App Start spans a default Offen

Android Task Traces

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

getsentry/sentry-java#5376 · 1 Kommentar · Erstellt am 06.5.2026
Turn screenshot masking ON by default Offen

Android Docs Errors

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 64/100

getsentry/sentry-java#5375 · 1 Kommentar · Erstellt am 06.5.2026

Alle Issues in getsentry/sentry-java