CVE-2023-34462
Açıklama
Netty, bakımı kolay, yüksek performanslı protokol sunucuları ve istemcilerinin hızlı geliştirilmesi için asenkron olay güdümlü bir ağ uygulama çerçevesidir. `SniHandler`, TLS el sıkışması sırasında her kanal için 16 MB'a kadar heap alanı tahsis edebilir. İşleyicinin veya kanalın boşta kalma zaman aşımı (idle timeout) olmadığında, `SniHandler` kullanan bir TCP sunucusunun 16 MB heap tahsis etmesi sağlanabilir. `SniHandler` sınıfı, `ClientHello` kaydı tarafından belirtilen sunucu adına göre bir `SslHandler` yapılandırmak için TLS el sıkışmasını bekleyen bir işleyicidir. Bu amaçla, `ClientHello` kaydında tanımlanan değeri kullanarak bir `ByteBuf` tahsis eder. Normalde paket değeri el sıkışma paketinden daha küçük olmalıdır ancak burada herhangi bir kontrol yapılmamıştır ve kodun yazım şekli nedeniyle, `SslClientHelloHandler`'ı tetikleyen özel hazırlanmış bir paket oluşturmak mümkündür. Bu güvenlik açığı 4.1.94.Final versiyonunda giderilmiştir.
Nasıl düzeltilir
- netty netty4.1.94 ya da sonraki bir sürüm
- io.netty:netty-handler4.1.94.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.94 | 4.1.94 |
| io.netty:netty-handlerMaven | v < 4.1.94.Final | 4.1.94.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.