CVE-2026-42582
Açıklama
Netty, asenkron ve olay güdümlü bir ağ uygulama çerçevesidir. 4.2.13.Final sürümünden önce, başlık blokları çözümlenirken, io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteral'ın non-Huffman dalı, sıkıştırılmış alan bölümünde gerçekten length baytının mevcut olduğunu doğrulamadan önce bir dize sabit değeri için new byte[length] işlemini yürütebilir. Hat kodlaması, çok büyük bir uzunluğun az sayıda bayt ile ifade edilmesine izin verir. new byte[length] işleminden önce length <= in.readableBytes() kontrolü yapılmamaktadır. Bu güvenlik açığı 4.2.13.Final sürümünde giderilmiştir.
Nasıl düzeltilir
- netty netty4.2.13 ya da sonraki bir sürüm
- io.netty:netty-codec-http34.2.13.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | 4.2.0 ≤ v < 4.2.13 | 4.2.13 |
| io.netty:netty-codec-http3Maven | 4.2.0.Final ≤ v < 4.2.13.Final | 4.2.13.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.