CVE-2026-54251
Təsvir
netty-incubator-codec-ohttp, Netty istifadə edərək Oblivious HTTP (OHTTP) şlüzü və klient funksionallığını həyata keçirir. 0.0.23.Final versiyasından əvvəl, codec-ohttp/src/main/java/io/netty/incubator/codec/ohttp/OHttpRequestResponseContext.java faylındakı OHTTP şlüzünün dekripsiya yolu, AEAD teqi yoxlanılmamışdan əvvəl dekripsiya edilmiş açıq mətn üçün hovuzlaşdırılmış birbaşa ByteBuf ayırır. Yanlış teq decryptChunk() metodunun CryptoException xətasını verməsinə səbəb olduqda, OHttpRequestResponseContext.decodeChunk() metodu ByteBuf-u azad etmir, çünki ayırma prosesi try/finally bloku ilə qorunmamışdır. Buna görə də, təkrar olunan yanlış şifrələnmiş sorğular, şlüz sorğuları emal edə bilməyən vəziyyətə gələnə qədər yerli off-heap yaddaş sızmasına səbəb ola bilər. Bu problem 0.0.23.Final versiyasında düzəldilmişdir.
Necə düzəltmək olar
- io.netty.incubator:netty-incubator-codec-ohttp0.0.23.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| io.netty.incubator:netty-incubator-codec-ohttpMaven | v < 0.0.23.Final | 0.0.23.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.