CVE-2026-44248
Təsvir
Netty asinxron, hadisə əsaslı şəbəkə tətbiqi freymvorkudur. 4.2.13.Final və 4.1.133.Final versiyalarından əvvəl, MQTT 5 başlıq Properties bölməsi hər hansı mesaj ölçüsü limiti tətbiq edilməzdən əvvəl analiz edilir və buferə yığılır. Xüsusilə, MqttDecoder-də decodeVariableHeader() metodu bytesRemainingBeforeVariableHeader > maxBytesInMessage yoxlamasından əvvəl çağırılır. decodeVariableHeader() digər metodları çağıra bilər ki, onlar da öz növbəsində decodeProperties()-i çağıracaqdır. Faktiki olaraq, Netty dekodlaşdırılan xüsusiyyətlərin (properties) ölçüsünə heç bir məhdudiyyət tətbiq etmir. Əlavə olaraq, MqttDecoder ReplayingDecoder sinfindən törədiyi üçün, Netty nəhəng Properties bölmələrini bütün proses tamamlanana qədər təkrar-təkrar analiz edəcək və baytları yaddaşda buferləyəcəkdir. Bu, həm CPU-da, həm də yaddaşda resursların yüksək istifadasına səbəb ola bilər. Bu zəiflik 4.2.13.Final və 4.1.133.Final versiyalarında aradan qaldırılmışdır.
Necə düzəltmək olar
- netty netty4.1.133, 4.2.13 və ya daha yeni versiya
- io.netty:netty-codec-mqtt4.2.13.Final, 4.1.133.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| netty netty | v < 4.1.133, 4.2.0 ≤ v < 4.2.13 | 4.1.133, 4.2.13 |
| io.netty:netty-codec-mqttMaven | 4.2.0.Alpha1 ≤ v < 4.2.13.Final, v < 4.1.133.Final | 4.2.13.Final, 4.1.133.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.