PT-2026-28107
CVE-2026-33870
·
تاريخ النشر
2026-03-24
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 2.0
7.8
عاليةالمقاييسAV:N/AC:L/Au:N/C:N/I:C/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدارين 4.1.132.Final و4.2.10.Final
الوصف
يقوم Netty بتحليل السلاسل الموضوعة بين علامتي اقتباس بشكل غير صحيح في قيم ملحق ترميز النقل المقسم (chunked transfer encoding) في HTTP/1.1، مما يتيح شن هجمات تهريب الطلبات. وعلى وجه التحديد، يوقف Netty تحليل رأس المقطع عند أحرف العودة/السطر الجديد داخل السلاسل الموضوعة بين علامتي اقتباس بدلاً من رفض الطلب باعتباره غير صحيح التكوين. وهذا يؤدي إلى اختلاف في التحليل بين Netty والمحللات المتوافقة مع RFC. والسبب الجذري هو أن Netty لا يتحقق من أن بايتات العودة/السطر الجديد محظورة داخل امتدادات المقطع قبل بايتات العودة/السطر الجديد الختامية. يجب رفض أي طلب يحتوي على بايتات العودة إلى السطر/تغذية السطر داخل قيمة امتداد المقطع رفضًا قاطعًا باعتباره غير صالح. يمكن أن تؤدي هذه المشكلة إلى تهريب الطلبات، وتسميم ذاكرة التخزين المؤقت، وتجاوز التحكم في الوصول، واختطاف الجلسة.
التوصيات
قم بالتحديث إلى إصدار Netty 4.1.132.Final أو 4.2.10.Final.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾