CVE-2026-100659
Açıklama
Netty'nin 4.2.0.Final ile 4.2.17.Final arasındaki sürümlerinde bulunan HTTP/3 codec bileşeni (io.netty:netty-codec-http3), hem :authority sözde başlık alanının hem de sabit bir host başlık alanının mevcut olduğu durumlarda, her ikisinin aynı değeri taşıması gerektiğine dair RFC 9114 gereksinimini zorunlu kılmamaktadır. Uzaktaki kimliği doğrulanmamış bir eş, saldırgan tarafından kontrol edilen farklı değerlere sahip her iki alanı da içeren tek bir HEADERS çerçevesi gönderebilir; istek kabul edilir ve uygulama katmanına çelişen iki yetkilendirme bilgisiyle iletilir. Bu durum, istek yolundaki farklı bileşenlerin farklı alanlara başvurması durumunda yönlendirme, sanal konak makinesi (virtual-host) ve erişim kontrolü kararlarının atlatılmasına olanak tanır. Bu sorun 4.2.18.Final sürümünde düzeltilmiştir.
Nasıl düzeltilir
- netty netty4.2.18.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | 4.2.0.Final ≤ v < 4.2.18.Final | 4.2.18.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.