CVE-2026-59900
Təsvir
Netty asinxron, hadisə əsaslı şəbəkə tətbiqi freymvorkudur. 4.1.136.Final və 4.2.16.Final versiyalarından əvvəl, Netty-nin HTTP/2-dən HTTP/1.x-ə tərcümə təbəqəsi (`Http2StreamFrameToHttpObjectCodec` və `InboundHttp2ToHttpAdapter`), HTTP/2 kliyenti tək bir HEADERS freymində həm `:authority` psevdo-başlığını, həm də literal `host` başlığını təqdim etdikdə, `Host` başlıqlarını dublikatlardan təmizləmir və ya yoxlamır. Tərcüməçi `:authority`-ni `Host`-a uyğunlaşdırır və eyni zamanda literal `host` başlığını kopyalayaraq hücum edən tərəf tərəfindən idarə olunan fərqli dəyərlərə malik iki `Host` başlığı olan `HttpRequest` obyekti yaradır. Bu problem 4.1.136.Final və 4.2.16.Final versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- netty netty4.1.136, 4.2.16 və ya daha yeni versiya
- io.netty:netty-codec-http24.2.16.Final, 4.1.136.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| netty netty | v < 4.1.136, 4.2.0 ≤ v < 4.2.16 | 4.1.136, 4.2.16 |
| io.netty:netty-codec-http2Maven | 4.2.0.Final ≤ v < 4.2.16.Final, v < 4.1.136.Final | 4.2.16.Final, 4.1.136.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.