CVE-2026-59919
Açıklama
Netty, asenkron, olay güdümlü bir ağ uygulama çerçevesidir. 4.1.136.Final ve 4.2.16.Final sürümlerinden önceki sürümlerde, Netty'nin HAProxy kodlayıcısı ( HAProxyMessageEncoder ), AF_UNIX kaynak ve hedef soket adreslerini CRLF karakterleri açısından doğrulamadan HAProxy V1 metin protokolüne yazar; bu nedenle bir AF_UNIX adresini kontrol eden saldırgan \r\n dizilerini enjekte ederek tek PROXY başlığını birden çok satıra bölebilir. Bu, V1 protokolünün satır sonlandırıcı olarak CRLF kullanması ve biçim denetimleri CRLF'yi örtük olarak reddeden IPv4/IPv6 adreslerinin aksine AF_UNIX adreslerinin yalnızca uzunluk (108 bayta kadar) açısından doğrulanması nedeniyle mümkündür; bu da istemci kaynak/hedef IP'sini alt akıştaki bir sunucuya veya yük dengeleyiciye taklit eden sahte bir ikinci PROXY başlık satırına olanak tanır. Sorun 4.1.136.Final ve 4.2.16.Final sürümlerinde giderilmiştir.
Nasıl düzeltilir
- netty netty4.1.136, 4.2.16 ya da sonraki bir sürüm
- io.netty:netty-codec-haproxy4.2.16.Final, 4.1.136.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.136, 4.2.0 ≤ v < 4.2.16 | 4.1.136, 4.2.16 |
| io.netty:netty-codec-haproxyMaven | 4.2.0.Final ≤ v < 4.2.16.Final, v < 4.1.136.Final | 4.2.16.Final, 4.1.136.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.