CVE-2026-50560
Açıklama
Netty, protokol sunucuları ve istemcilerinin geliştirilmesi için kullanılan bir ağ uygulama çerçevesidir. 4.1.135.Final ve 4.2.15.Final versiyonlarından önce, Netty HTTP/2 maksimum başlık boyutu işleme süreci, HTTP/2 Rapid Reset'e benzer bir saldırıya yol açmaktadır. http2 spesifikasyonunda `SETTINGS_MAX_HEADER_LIST_SIZE` adlı bir ayar bulunmaktadır. Bir istemci bu ayarı Netty'ye gönderdiğinde, Netty'nin şu şekilde davrandığı görülmektedir: isteği okur; isteği kaynağa iletir; bir yanıt üretmeye çalışır ve yanıt başlıklarını yazarken bir istisna oluşturur. İşlevsel olarak bu durum, farklı bir hat imzasına sahip olsa da http2 reset saldırısına benzerdir. 4.1.135.Final ve 4.2.15.Final versiyonları bu sorunu gidermektedir.
Nasıl düzeltilir
- netty netty4.1.135, 4.2.15 ya da sonraki bir sürüm
- io.netty:netty-codec-http24.2.15.Final, 4.1.135.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.135, 4.2.0 ≤ v < 4.2.15 | 4.1.135, 4.2.15 |
| io.netty:netty-codec-http2Maven | 4.2.0.Final ≤ v < 4.2.15.Final, v < 4.1.135.Final | 4.2.15.Final, 4.1.135.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.