CVE-2026-42584
Açıklama
Netty, asenkron ve olay güdümlü bir ağ uygulama çerçevesidir. 4.2.13.Final ve 4.1.133.Final sürümlerinden önce HttpClientCodec, 1xx yanıtları da dahil olmak üzere her gelen yanıtı, yanıt başına bir kez queue.poll() kullanarak giden bir istekle eşleştirir. Eğer istemci GET ardından HEAD isteklerini ardışık olarak gönderirse ve sunucu sırasıyla 103, GET gövdesiyle birlikte 200 ve ardından HEAD için 200 gönderirse; kuyruk, HEAD isteğini ilk 200 ile eşleştirir. Ardından HEAD kuralı bu mesajın gövdesini okumayı atlar, böylece GET varlık baytları akışta kalır ve takip eden 200 yanlış ofsetten ayrıştırılır. Bu güvenlik açığı 4.2.13.Final ve 4.1.133.Final sürümlerinde giderilmiştir.
Nasıl düzeltilir
- netty netty4.1.133, 4.2.13 ya da sonraki bir sürüm
- io.netty:netty-codec-http4.2.13.Final, 4.1.133.Final ya da sonraki bir sürüm
- access.redhat.com/errata/RHSA-2026:49700
- access.redhat.com/errata/RHSA-2026:53644
- access.redhat.com/errata/RHSA-2026:53645
- access.redhat.com/errata/RHSA-2026:28010
- access.redhat.com/errata/RHSA-2026:53646
- access.redhat.com/errata/RHSA-2026:66545
- access.redhat.com/errata/RHSA-2026:66488
- access.redhat.com/errata/RHSA-2026:49701
- access.redhat.com/errata/RHSA-2026:42644
- access.redhat.com/errata/RHSA-2026:65126
- access.redhat.com/errata/RHSA-2026:25123
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.133, 4.2.0 ≤ v < 4.2.13 | 4.1.133, 4.2.13 |
| io.netty:netty-codec-httpMaven | 4.2.0.Alpha1 ≤ v < 4.2.13.Final, v < 4.1.133.Final | 4.2.13.Final, 4.1.133.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.