CVE-2026-54251
Açıklama
netty-incubator-codec-ohttp, Netty kullanarak Oblivious HTTP (OHTTP) ağ geçidi ve istemci işlevselliğini uygular. 0.0.23.Final sürümünden önce, codec-ohttp/src/main/java/io/netty/incubator/codec/ohttp/OHttpRequestResponseContext.java dosyasındaki OHTTP ağ geçidi şifre çözme yolu, AEAD etiketi doğrulanmadan önce şifresi çözülmüş düz metin için havuzlanmış bir doğrudan ByteBuf tahsis eder. Geçersiz bir etiket decryptChunk() fonksiyonunun CryptoException fırlatmasına neden olduğunda, tahsis işlemi try/finally ile korunmadığı için OHttpRequestResponseContext.decodeChunk() ByteBuf'ı serbest bırakmaz. Bu nedenle, tekrarlanan geçersiz şifreli istekler, ağ geçidi isteklere hizmet veremez hale gelene kadar yerel off-heap bellek sızıntısına yol açabilir. Bu sorun 0.0.23.Final sürümünde düzeltilmiştir.
Nasıl düzeltilir
- io.netty.incubator:netty-incubator-codec-ohttp0.0.23.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| io.netty.incubator:netty-incubator-codec-ohttpMaven | v < 0.0.23.Final | 0.0.23.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.