PT-2026-38372 · Netty+4 · Netty+4
Publicado
2026-05-05
·
Atualizado
2026-07-10
·
CVE-2026-42579
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Netty versões anteriores a 4.1.133.Final
Netty versões anteriores a 4.2.13.Final
Description
O codec DNS do Netty não impõe as restrições de nome de domínio da RFC 1035 durante a codificação e decodificação, criando uma superfície de ataque bidirecional. No codificador, a função
encodeDomainName() em io.netty.handler.codec.dns.DnsCodecUtil permite bytes nulos, rótulos (labels) que excedem 63 bytes e nomes de domínio totais que excedem 255 bytes. Isso pode levar ao envenenamento de cache DNS, bypass de validação de domínio e confusão do analisador, onde rótulos excessivamente longos são interpretados incorretamente como ponteiros de compressão. Além disso, rótulos vazios fazem com que o nome do domínio seja truncado silenciosamente. No decodificador, a função decodeDomainName() em io.netty.handler.codec.dns.DnsCodecUtil não valida o comprimento do rótulo ou do nome total, permitindo que respostas DNS maliciosas provoquem a alocação irrestrita de memória via crescimento do StringBuilder, potencialmente levando a uma negação de serviço.Recommendations
Atualize para a versão 4.1.133.Final ou posterior.
Atualize para a versão 4.2.13.Final ou posterior.
Como medida paliativa temporária, restrinja o uso do módulo
io.netty.handler.codec.dns.DnsCodecUtil ou valide nomes de host influenciados pelo usuário antes de passá-los para o codificador DNS.Exploit
Correção
DoS
RCE
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Confluence
Linuxmint
Netty
Red Os
Ubuntu