PT-2026-43441
CVE-2026-41207
·
تاريخ النشر
2026-05-26
·
تاريخ التحديث
2026-09-04
الوصف من
CVSS 4.0
6.9
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات netty incubator codec.bhttp السابقة للإصدار 0.0.21.Final
الوصف
تُرجع الدالة
HKDF expand() مصفوفة بايت غير فارغة (non-NULL) مليئة بالأصفار عند الفشل، مما يجعل من المستحيل التمييز بين العملية الناجحة والعملية الفاشلة. يُستخدم هذا الناتج كمواد مفتاحية للاستجابة AEAD (التشفير المصادق عليه مع البيانات المرتبطة)، مما يعني أن الفشل يؤدي إلى مفتاح مكون بالكامل من الأصفار. وبالمثل، عند فشل EVP HPKE CTX export، فإنها تُرجع مصفوفة بايت فارغة مليئة بالأصفار، والتي يتم تمريرها إلى الدالة createResponseAEAD() في OHttpCrypto. ويسمح هذا السلوك بإنشاء مفتاح AEAD حتمي وقابل للتنبؤ.التوصيات
التحديث إلى الإصدار 0.0.21.Final.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾