CVE-2026-75596
Açıklama
Netty, asenkron, olay güdümlü bir ağ uygulama çerçevesidir. 4.1.137.Final ve 4.2.17.Final sürümlerinden önce, varsayılan io.netty.handler.ssl.SniHandler yapıcıları, handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java dosyasındaki io.netty.handler.ssl.SslClientHelloHandler#decode konumunda el sıkışma öncesi ClientHello toplama yolunu kullanır; burada handshakeBuffer.clear() ve writeBytes(), her ek TLS kaydı için önceden alınan tüm gövde baytlarını yeniden kopyalar. Kimlik doğrulaması yapılmamış bir uzak eş, büyük bir ClientHello duyurabilir ve gövdesini binlerce küçük kayıt halinde iletebilir; bu da TLS el sıkışması tamamlanmadan önce olay döngüsünde ikinci dereceden CPU iş yüküne neden olur ve diğer istemciler için TLS işlemeyi bozar. Bu sorun 4.1.137.Final ve 4.2.17.Final sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- netty netty4.1.137, 4.2.17 ya da sonraki bir sürüm
- io.netty:netty-handler4.2.17.Final, 4.1.137.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.137, 4.2.0 ≤ v < 4.2.17 | 4.1.137, 4.2.17 |
| io.netty:netty-handlerMaven | 4.2.0.Final ≤ v < 4.2.17.Final, v < 4.1.137.Final | 4.2.17.Final, 4.1.137.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.