CVE-2026-42587

Yüksek

Açıklama

Netty, asenkron ve olay güdümlü bir ağ uygulama çerçevesidir. 4.2.13.Final ve 4.1.133.Final sürümlerinden önce, HttpContentDecompressor, açma tampon boyutunu sınırlamak ve decompression bomb saldırılarını önlemek için bir maxAllocation parametresi kabul eder. Bu sınır, ZlibDecoder aracılığıyla gzip ve deflate kodlamaları için doğru şekilde uygulanırken; içerik kodlaması br (Brotli), zstd veya snappy olduğunda sessizce yoksayılır. Bir saldırgan, Content-Encoding: gzip yerine Content-Encoding: br içeren sıkıştırılmış bir yük göndererek yapılandırılan açma sınırını atlayabilir, bu da sınırsız bellek tahsisine ve bellek yetersizliği nedeniyle hizmet reddine yol açar. Aynı güvenlik açığı, HTTP/2 bağlantıları için DelegatingDecompressorFrameListener bileşeninde de mevcuttur. Bu güvenlik açığı 4.2.13.Final ve 4.1.133.Final sürümlerinde giderilmiştir.

ÖnemYüksek

CVSS7.5

İstismar olasılığı—

ÜrünNetty

Yayın13 May 2026

İlk görülme13 May 2026

Zayıflık türüCWE-400Denetimsiz kaynak tüketimi

Nasıl düzeltilir

Güncelleyin

netty netty4.1.133, 4.2.13 ya da sonraki bir sürüm
io.netty:netty-codec-http4.2.13.Final, 4.1.133.Final ya da sonraki bir sürüm
io.netty:netty-codec-http24.2.13.Final, 4.1.133.Final ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
netty netty	v < 4.1.133, 4.2.0 ≤ v < 4.2.13	4.1.133, 4.2.13
io.netty:netty-codec-httpMaven	4.2.0.Alpha1 ≤ v < 4.2.13.Final, v < 4.1.133.Final	4.2.13.Final, 4.1.133.Final
io.netty:netty-codec-http2Maven	4.2.0.Alpha1 ≤ v < 4.2.13.Final, v < 4.1.133.Final	4.2.13.Final, 4.1.133.Final

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.