CVE-2026-48043

Orta

Açıklama

Netty, protokol sunucuları ve istemcilerinin geliştirilmesi için bir ağ uygulama çerçevesidir. 4.1.135.Final ve 4.2.15.Final versiyonlarından önceki netty-codec-http2 sürümlerinde, `DelegatingDecompressorFrameListener` sınıfı, uygun sıkıştırma çözücü kodeği (gzip, deflate, zstd) çalıştıran vele her akışa özel bir `EmbeddedChannel` gömerek HTTP/2 sıkıştırmayı koordine eder ve sıkıştırılmış parçaları sarmalanmış bir dinleyiciye iletir. Sıkıştırılması çözülmüş her parça, serbest bırakılmasından sorumlu tek sahip haline gelen anonim bir `ChannelInboundHandlerAdapter` kuyruk işleyicisine teslim edilen havuzlanmış bir `ByteBuf`'tır. Uzak bir eş, akış denetleyicisinin hata fırlatmasına neden olacak kareler gönderebilir ve böylece sonunda OOME nedeniyle tüm JVM'yi çökertebilecek bir kaynak sızıntısını tetikleyebilir. 4.1.135.Final ve 4.2.15.Final versiyonları bu sorunu gidermektedir.

ÖnemOrta

CVSS5.3

İstismar olasılığı—

ÜrünNetty

Yayın12 Haz 2026

İlk görülme12 Haz 2026

Zayıflık türüCWE-400Denetimsiz kaynak tüketimi CWE-401CWE-401

Nasıl düzeltilir

Güncelleyin

netty netty4.1.135, 4.2.15 ya da sonraki bir sürüm
io.netty:netty-codec-http24.1.135.Final, 4.2.15.Final ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
netty netty	v < 4.1.135, 4.2.0 ≤ v < 4.2.15	4.1.135, 4.2.15
io.netty:netty-codec-http2Maven	v < 4.1.135.Final, 4.2.0.Alpha1 ≤ v < 4.2.15.Final	4.1.135.Final, 4.2.15.Final

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.