CVE-2026-56819
Təsvir
Netty protokol serverləri və müştəriləri hazırlamaq üçün şəbəkə tətbiqi çərçivəsidir. 4.2.0.Final ilə 4.2.15.Final və 4.1.0.Final ilə 4.1.135.Final versiyalarında HTTP/2 məzmun dekompressiyasını `DelegatingDecompressorFrameListener` vasitəsilə aktivləşdirən tətbiqlərdə uzaq autentifikasiyadan keçməmiş həmsöhbət hər HTTP/2 `DATA` çərçivəsi üçün bir birbaşa `ByteBuf` sızdıra bilər. Dekompressoru artıq bağlanmış axın üçün `DATA` çərçivəsi emal edildikdə, `Http2Decompressor.decompress(...)` `decompressor.writeInbound(data.retain())` çağırışını edir və xəta yolunda saxlanılmış buferi buraxmır, nəticədə birbaşa yaddaş tükənir və JVM çökür. Bu problem 4.1.136.Final və 4.2.16.Final versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- netty netty4.1.136, 4.2.16 və ya daha yeni versiya
- io.netty:netty-codec-http24.2.16.Final, 4.1.136.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| netty netty | 4.1.0 ≤ v < 4.1.136, 4.2.0 ≤ v < 4.2.16 | 4.1.136, 4.2.16 |
| io.netty:netty-codec-http2Maven | 4.2.0 ≤ v < 4.2.16.Final, 4.1.0.Final ≤ v < 4.1.136.Final | 4.2.16.Final, 4.1.136.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.