CVE-2026-48006
Təsvir
Netty protokol serverləri və klientlərinin hazırlanması üçün şəbəkə tətbiqi freymvorkudur. 4.1.135.Final və 4.2.15.Final versiyalarından əvvəl, RESP massiv aqreqatı tamamlanmamış Redis boru kəməri (pipeline) bağlantısı bağlandıqda, RedisArrayAggregator handler-i hovuzlaşdırılmış birbaşa yaddaş buferlərini (pooled direct-memory buffers) daimi olaraq sızdırır. Handler alt mesajları hər handler-ə aid vəziyyətdə (`depths` sahəsində) saxlayır, lakin boru kəməri söküldükdə onları azad etmək üçün heç bir `channelInactive`, `handlerRemoved` və ya `exceptionCaught` metodu təyin etmir. Sızan buferlər `PooledByteBufAllocator` parçalarının dilimləri olduğu üçün həmin parçaların JVM səviyyəli birbaşa yaddaş hovuzuna qaytarılmasının qarşısını alır. Hər hansı şəbəkə tərəfdaşı tərəfindən təkrar olunan bağlantı dəyişiklikləri bu ortaq hovuzu monoton şəkildə boşaldır və nəticədə prosesdəki bütün Netty kanallarında ayırma (allocation) xətalarına səbəb olur. 4.1.135.Final və 4.2.15.Final versiyaları bu problemi aradan qaldırır.
Necə düzəltmək olar
- netty netty4.1.135, 4.2.15 və ya daha yeni versiya
- io.netty:netty-codec-redis4.2.15.Final, 4.1.135.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| netty netty | v < 4.1.135, 4.2.0 ≤ v < 4.2.15 | 4.1.135, 4.2.15 |
| io.netty:netty-codec-redisMaven | 4.2.0.Final ≤ v < 4.2.15.Final, v < 4.1.135.Final | 4.2.15.Final, 4.1.135.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.