CVE-2026-41417
Açıklama
Netty, bir `DefaultHttpRequest` veya `DefaultFullHttpRequest` önce oluşturulduğunda ve ardından URI'si `setUri()` aracılığıyla değiştirildiğinde istek satırı doğrulamasının atlanmasına izin verir. Kurucu metodlar, başlangıç satırını bozacak olan CRLF ve boşluk karakterlerini reddeder ancak `setUri()` aynı doğrulamayı uygulamaz. `HttpRequestEncoder` ve `RtspEncoder` daha sonra URI'yi olduğu gibi istek satırına yazar. Saldırgan tarafından kontrol edilen girdi `setUri()` metoduna ulaşırsa, bu durum CRLF enjeksiyonuna ve ek HTTP veya RTSP isteklerinin eklenmesine olanak tanıyarak HTTP tarafında HTTP istek kaçakçılığına (request smuggling) veya senkronizasyon bozulmasına, RTSP tarafında ise istek enjeksiyonuna yol açar. Bu sorun 4.2.13.Final ve 4.1.133.Final sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- netty netty4.1.133, 4.2.13 ya da sonraki bir sürüm
- io.netty:netty-codec-http4.1.133.Final, 4.2.13.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.133, 4.2.0 ≤ v < 4.2.13 | 4.1.133, 4.2.13 |
| io.netty:netty-codec-httpMaven | v < 4.1.133.Final, 4.2.0.Alpha1 ≤ v < 4.2.13.Final | 4.1.133.Final, 4.2.13.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.