PT-2026-47609
CVE-2026-45673
·
تاريخ النشر
2026-06-05
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
6.8
متوسطةالمقاييسAV:N/AC:H/PR:N/UI:N/S:C/C:N/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.135.Final
إصدارات Netty السابقة للإصدار 4.2.15.Final
الوصف
يستخدم محلل DNS في الوحدة النمطية
io.netty.resolver.dns مولد أرقام عشوائية زائفة (PRNG) يمكن التنبؤ به لتوليد معرّفات معاملات DNS، ويستخدم بشكل افتراضي منفذ مصدر UDP ثابت. وعلى وجه التحديد، يدير DnsQueryIdSpace معرّفات المعاملات باستخدام java.util.concurrent.ThreadLocalRandom، وهو مولد خطي متطابق (LCG) يمكن التنبؤ به. بالإضافة إلى ذلك، يستخدم DnsNameResolverBuilder افتراضيًا channelStrategy من نوع ChannelPerResolver، والذي يربط DatagramChannel مرة واحدة ويؤدي إلى منفذ مصدر ثابت لجميع الاستعلامات اللاحقة. يقلل هذا المزيج من إنتروبيا استعلامات DNS، مما يتيح حدوث «تسميم ذاكرة التخزين المؤقت لـ DNS» (DNS Cache Poisoning)، المعروف أيضًا باسم هجوم «كامينسكي» (Kaminsky)، حيث يمكن للمهاجم تزوير استجابات DNS لإعادة توجيه حركة المرور إلى عناوين IP ضارة، مما قد يؤدي إلى هجمات «الرجل في الوسط» (man-in-the-middle).التوصيات
قم بالتحديث إلى الإصدار 4.1.135.Final أو أحدث.
قم بالتحديث إلى الإصدار 4.2.15.Final أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾