PT-2026-47605
CVE-2026-44894
·
تاريخ النشر
2026-06-08
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
Netty (ionettyincubatorcodecquic) (الإصدارات المتأثرة غير محددة)
الوصف
يفشل مكون
NoQuicTokenHandler في التحقق من صحة الرموز بشكل صحيح عندما لا يتم تعيين معالج رموز محدد من قبل التطبيق. على وجه التحديد، تُرجع الدالة validateToken() القيمة 0 دون قيد أو شرط، والتي تفسرها الدالة QuicheQuicServerCodec.handlePacket() على أنها رمز صالح. وهذا يسمح للمهاجم بتزوير عنوان IP المصدر للضحية وإدراج أي بايتات رموز غير فارغة في حزمة أولية. ونتيجة لذلك، يعامل الخادم عنوان الضحية على أنه تم التحقق من صحته، متجاوزًا حد الإرسال المضاد للتضخيم البالغ 3x المحدد في RFC 9000 §8.1. وهذا يمكّن الخادم من عكس عمليات مصافحة كاملة الحجم، مثل الشهادات، نحو الضحية دون قيود التضخيم القياسية.التوصيات
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة الأمنية.
قابلية الاستغلال
استغلال
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾