CVE-2026-48006
Açıklama
Netty, protokol sunucuları ve istemcilerinin geliştirilmesi için kullanılan bir ağ uygulama çerçevesidir. 4.1.135.Final ve 4.2.15.Final versiyonlarından önce, bir Redis hattı bağlantısı bir RESP dizi toplaması tamamlanmadan kapandığında, RedisArrayAggregator işleyicisi havuzlanmış doğrudan bellek tamponlarını kalıcı olarak sızdırır. İşleyici, alt mesajları her işleyiciye özel durumda (`depths` alanı) tutar ancak hat çöktüğünde bunları serbest bırakmak için herhangi bir `channelInactive`, `handlerRemoved` veya `exceptionCaught` yöntemi tanımlamaz. Sızan tamponlar `PooledByteBufAllocator` parçalarının dilimleri olduğu için, bu parçaların JVM genelindeki doğrudan bellek havuzuna iade edilmesini engellerler. Herhangi bir ağ eşinin tekrarlayan bağlantı döngüleri bu paylaşılan havuzu monotonik olarak tüketir ve sonunda süreçteki tüm Netty kanallarında tahsis hatalarına neden olur. 4.1.135.Final ve 4.2.15.Final versiyonları sorunu giderir.
Nasıl düzeltilir
- netty netty4.1.135, 4.2.15 ya da sonraki bir sürüm
- io.netty:netty-codec-redis4.2.15.Final, 4.1.135.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.135, 4.2.0 ≤ v < 4.2.15 | 4.1.135, 4.2.15 |
| io.netty:netty-codec-redisMaven | 4.2.0.Final ≤ v < 4.2.15.Final, v < 4.1.135.Final | 4.2.15.Final, 4.1.135.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.