PT-2025-6114
CVE-2025-25193
·
تاريخ النشر
2025-02-10
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
5.5
متوسطةالمقاييسAV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty حتى الإصدار 4.1.118.Final بما في ذلك هذا الإصدار
الوصف
تتعلق المشكلة بقراءة غير آمنة لملفات البيئة، مما قد يؤدي إلى حدوث هجوم «رفض الخدمة» في Netty. عند تحميل Netty على تطبيق يعمل بنظام Windows، يحاول Netty تحميل ملف غير موجود. إذا أنشأ المهاجم ملفًا كبير الحجم، فقد يتعطل تطبيق Netty. تم الإبلاغ عن مشكلة مماثلة سابقًا، لكن الإصلاح كان غير مكتمل، حيث لم يتم احتساب البايتات الفارغة ضمن حد الإدخال. ترتبط هذه الثغرة الأمنية بوظيفة
BufferedReader.readLine() وInputStreamReader، اللتين يمكن أن تملآ مخزن السطر المؤقت بأحرف بديلة عند مواجهة بايتات فارغة.التوصيات
بالنسبة لإصدارات Netty حتى الإصدار 4.1.118.Final بما في ذلك، يُنصح بالتحديث إلى إصدار يتضمن الإصلاح الكامل لهذه المشكلة، حيث إن الإصلاح الحالي غير كامل. كحل مؤقت، يُنصح بتقييد الوصول إلى الدالة
BufferedReader.readLine() المعرضة للخطر أو إلى InputStreamReader لتقليل مخاطر الاستغلال إلى أدنى حد. بالإضافة إلى ذلك، تجنب استخدام InputStreamReader مع الملفات التي قد تحتوي على بايتات فارغة، حيث إن ذلك قد يؤدي إلى ظهور الثغرة الأمنية. في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾