PT-2026-38399 · Netty · Netty

Publicado 2026-05-07 · Atualizado 2026-06-11 · CVE-2026-44248

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Netty (versões afetadas não especificadas)

Descrição Ocorre exaustão de recursos porque a seção de Propriedades do cabeçalho MQTT 5 é analisada e armazenada em buffer antes que qualquer limite de tamanho de mensagem seja aplicado. Na classe MqttDecoder, a função decodeVariableHeader() é executada antes da verificação bytesRemainingBeforeVariableHeader > maxBytesInMessage. Isso permite que a decodeVariableHeader() acione a decodeProperties(), significando que nenhum limite é aplicado ao tamanho das propriedades decodificadas. Como o MqttDecoder estende o ReplayingDecoder, o sistema analisa e armazena repetidamente em buffer seções de Propriedades volumosas na memória até que a análise seja concluída, resultando em alto consumo de CPU e memória.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CLEANSTART-2026-CP46043

CLEANSTART-2026-DD05788

CLEANSTART-2026-EG39405

CLEANSTART-2026-LE11246

CLEANSTART-2026-MX76059

CLEANSTART-2026-RN56220

CLEANSTART-2026-WK99982

CVE-2026-44248

GHSA-JFG9-48MV-9QGX

OPENSUSE-SU-2026:10795-1

SUSE-SU-2026:2308-1

Produtos afetados

Netty

Referências · 405

• https://github.com/netty/netty · Nota
• https://github.com/netty/netty/security/advisories/GHSA-jfg9-48mv-9qgx · Aviso do Fabricante
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-LE11246.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-WK99982.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-RN56220.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-CP46043.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-DD05788.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-EG39405.json · Nota
• https://github.com/cleanstart-dev/cleanstart-security-advisories/tree/main/advisories/2026/CLEANSTART-2026-MX76059.json · Nota
• https://osv.dev/vulnerability/CVE-2023-42503 · Nota
• https://osv.dev/vulnerability/CVE-2025-25193 · Nota
• https://cve.org/CVERecord?id=CVE-2026-44248 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-0341 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2018-11798 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-42507 · Nota