PT-2026-28108
CVE-2026-33871
·
تاريخ النشر
2026-03-24
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.132.Final والإصدارات السابقة للإصدار 4.2.10.Final
الوصف
Netty، وهو إطار عمل لتطبيقات الشبكات غير متزامن ومدفوع بالأحداث، معرض لهجوم «رفض الخدمة» (DoS). يمكن لمستخدم بعيد استغلال هذه الثغرة عن طريق إرسال سيل من إطارات
CONTINUATION إلى خادم Netty HTTP/2. لا يحدد الخادم عدد إطارات CONTINUATION التي يقبلها، ويتم تجاوز الحماية الحالية القائمة على الحجم عند استخدام إطارات بحجم صفر بايت. وهذا يسمح للمهاجم بالتسبب في استهلاك مفرط لوحدة المعالجة المركزية (CPU) باستخدام الحد الأدنى من النطاق الترددي، مما يجعل الخادم غير مستجيب. تكمن المشكلة في مكون DefaultHttp2FrameReader، وتحديدًا داخل الدالة verifyContinuationFrame()، التي تفتقر إلى فحص عدد الإطارات. كما تسمح الدالة HeadersBlockBuilder.addFragment() بتجاوز حد البايتات باستخدام إطارات ذات بايت صفر.التوصيات
قم بالترقية إلى إصدار Netty 4.1.132.Final أو أحدث.
قم بالترقية إلى إصدار Netty 4.2.10.Final أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾