PT-2026-38378
CVE-2026-42586
·
تاريخ النشر
2026-05-05
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty الأقدم من 4.1.133.Final
إصدارات Netty الأقدم من 4.2.13.Final
الوصف
يقوم مشفر Netty Redis (
RedisEncoder) بكتابة محتوى السلسلة التي يتحكم فيها المستخدم مباشرةً إلى مخزن إخراج الشبكة دون التحقق من صحة أحرف CRLF (r ) أو تنقيتها. ونظرًا لأن بروتوكول تسلسل Redis (RESP) يستخدم CRLF كمحدد للأوامر والاستجابات، فإن المهاجم الذي يمكنه التحكم في محتوى رسالة Redis يمكنه حقن أوامر Redis عشوائية أو تزوير استجابات مزيفة. تؤثر هذه المشكلة بشكل خاص على وضع الأوامر المضمنة النصية وأنواع الاستجابات البسيطة من السلاسل أو الأخطاء. توجد الثغرة الأمنية في الدالة writeString() لفئة RedisEncoder وفي منشئات InlineCommandRedisMessage وSimpleStringRedisMessage وErrorRedisMessage (التي ترث من AbstractStringRedisMessage).التوصيات
قم بالتحديث إلى الإصدار 4.1.133.Final أو أحدث.
قم بالتحديث إلى الإصدار 4.2.13.Final أو أحدث.
كحل مؤقت، قم بتقييد استخدام
InlineCommandRedisMessage وSimpleStringRedisMessage وErrorRedisMessage أو قم بتنفيذ عملية تنقية يدوية لرموز CRLF في مدخلات المستخدم قبل تمريرها إلى هذه المكونات. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾