CVE-2026-44248
Açıklama
Netty, asenkron ve olay güdümlü bir ağ uygulama çerçevesidir. 4.2.13.Final ve 4.1.133.Final sürümlerinden önce, MQTT 5 başlık Properties bölümü, herhangi bir mesaj boyut sınırı uygulanmadan önce ayrıştırılır ve tamponlanır. Spesifik olarak, MqttDecoder içinde decodeVariableHeader() metodu, bytesRemainingBeforeVariableHeader > maxBytesInMessage kontrolünden önce çağrılmaktadır. decodeVariableHeader(), decodeProperties() metodunu çağıran diğer metodları çağırabilir. Etkili olarak Netty, ayrıştırılan özelliklerin boyutuna herhangi bir sınır uygulamaz. Ek olarak, MqttDecoder ReplayingDecoder sınıfını genişlettiği için Netty, tüm işlem tamamlanana kadar devasa Properties bölümlerini tekrar tekrar yeniden ayrıştıracak ve baytları bellekte tamponlayacaktır. Bu durum hem CPU hem de bellek üzerinde yüksek kaynak kullanımına neden olabilir. Bu güvenlik açığı 4.2.13.Final ve 4.1.133.Final sürümlerinde giderilmiştir.
Nasıl düzeltilir
- netty netty4.1.133, 4.2.13 ya da sonraki bir sürüm
- io.netty:netty-codec-mqtt4.2.13.Final, 4.1.133.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.133, 4.2.0 ≤ v < 4.2.13 | 4.1.133, 4.2.13 |
| io.netty:netty-codec-mqttMaven | 4.2.0.Alpha1 ≤ v < 4.2.13.Final, v < 4.1.133.Final | 4.2.13.Final, 4.1.133.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.