PT-2026-47612
CVE-2026-47244
·
تاريخ النشر
2026-06-05
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 4.0
8.2
عاليةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.135.Final
إصدارات Netty السابقة للإصدار 4.2.15.Final
الوصف
في إطار عمل تطبيقات الشبكة، يقوم
DefaultHttp2Connection.DefaultEndpoint بتهيئة maxActiveStreams وmaxStreams إلى Integer.MAX VALUE، في حين أن Http2Settings لا يقوم بإدراج SETTINGS MAX CONCURRENT STREAMS بشكل افتراضي. إذا لم يستدعِ التطبيق صراحةً initialSettings().maxConcurrentStreams(n)، فإن خادم HTTP/2 لا يعلن عن أي حد للتدفقات المتزامنة ولا يفرضه. وهذا يسمح لاتصال TCP واحد بإنشاء مئات الآلاف من كائنات التدفق طويلة العمر، حيث يخصص كل تدفق مفتوح كائن DefaultStream، وفتحات PropertyMap، وحالة وحدة التحكم في التدفق، وإدخالًا في IntObjectHashMap. كما يتيح هذا الوضع تضخيم هجمات «Rapid-Reset»، حيث يؤدي عدم وجود حد أدنى للتدفقات المتزامنة إلى زيادة عبء العمل على الخلفية.التوصيات
قم بالتحديث إلى الإصدار 4.1.135.Final.
قم بالتحديث إلى الإصدار 4.2.15.Final.
كإجراء تخفيفي مؤقت، قم باستدعاء
initialSettings().maxConcurrentStreams(n) بشكل صريح لتحديد حد للتدفقات المتزامنة.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾