p PatchFirst

CVE-2026-42582

CVE-2026-42582 · Netty: HTTP/3 QPACK literal unbounded allocation

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final, when decoding header blocks, the non-Huffman branch of io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteral may execute new byte[length] for a string literal before verifying that length bytes are actually present in the compressed field section. The wire encoding allows a very large length to be expressed in few bytes. There is no check that length <= in.readableBytes() before new byte[length]. This vulnerability is fixed in 4.2.13.Final.

CVSS 7.5 · Высокий · EPSS 0,4%

Опубликовано
Обновлено

Стек: system

Затронутые продукты и версии

  • netty

    Версии
    • >= 4.2.0.Alpha1, < 4.2.13.Final: Затронуто

    Нет опубликованного исправления

  • netty-codec-http3

    Версии
    • >= 4.2.0.Alpha1, < 4.2.13.Final: Затронуто

    Нет опубликованного исправления

  • netty Debian:12

    Версии
    • 1:4.1.48-10
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-15
    • 1:4.1.48-16
    • 1:4.1.48-7
    • 1:4.1.48-7+deb12u1
    • 1:4.1.48-7+deb12u2
    • 1:4.1.48-8
    • 1:4.1.48-9
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • netty Debian:13

    Версии
    • 1:4.1.48-10
    • 1:4.1.48-10+deb13u1
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-15
    • 1:4.1.48-16
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • netty Debian:14

    Версии
    • 1:4.1.48-10
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-15
    • 1:4.1.48-16
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →