PT-2026-62225 · Netty · Netty

CVE-2026-55851 · Publicado 2026-07-21 · Atualizado 2026-07-22

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Netty versões 4.1.0.Final até 4.1.134 Netty versões 4.2.0.Final até 4.2.15

Description O HAProxyMessageDecoder no módulo codec-haproxy realiza a detecção da versão do protocolo lendo o 13º byte como um byte assinado do Java e expandindo-o para int sem mascaramento. Um prefixo binário do protocolo PROXY v2 seguido pelo byte de versão 0xFF expande o sinal para -1, o que colide com a sentinela de necessidade de mais dados do decodificador. Isso faz com que o ByteToMessageDecoder acumule bytes de entrada em um buffer de cumulation ilimitado até que a memória direta seja esgotada.

Recommendations Atualize para a versão 4.1.136.Final ou posterior. Atualize para a versão 4.2.16.Final ou posterior.

Exploit

Correção

Resource Exhaustion

Enumeração de Fraquezas

CWE-400

Identificadores relacionados

CVE-2026-55851

GHSA-Q6CQ-MHR2-JMR5

Produtos afetados

Netty

Referências · 10

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/55xxx/CVE-2026-55851.json · Exploit
• https://github.com/netty/netty/security/advisories/GHSA-q6cq-mhr2-jmr5 · Nota
• https://github.com/netty/netty/releases/tag/netty-4.1.136.Final · Nota
• https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6 · Nota
• https://github.com/netty/netty/releases/tag/netty-4.2.16.Final · Nota
• https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b · Nota
• https://github.com/netty/netty · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-55851 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-55851 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-q6cq-mhr2-jmr5 · Aviso do Fabricante