CVE-2026-44890
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece Netty (netty-codec-redis) przed wersjami 4.1.135.Final i 4.2.15.Final umożliwia atak DoS poprzez wysyłanie spreparowanych ładunków Redis bez znaku `\r\n` na wielu połączeniach. Powoduje to wyczerpanie puli pamięci bezpośredniej serwera (OutOfDirectMemoryError), uniemożliwiając przetwarzanie prawidłowych połączeń.
Ocena ryzyka
Organizacja narażona jest na odmowę usługi (DoS), co może prowadzić do niedostępności aplikacji korzystających z Netty do obsługi Redis. Atak może być przeprowadzony zdalnie bez uwierzytelniania, wykorzystując wiele połączeń.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Netty do wersji 4.1.135.Final lub 4.2.15.Final (lub nowszej). Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie liczby połączeń Redis lub zastosowanie firewalla blokującego podejrzane pakiety.
Oryginalny opis (angielski, źródło NVD)
Netty is a network application framework for development of protocol servers and clients. In netty-codec-redis prior to versions 4.1.135.Final and 4.2.15.Final, an attacker can cause DoS by sending crafted Redis payloads across multiple connections without `\r\n`. This exhausts the server's direct memory pool (OutOfDirectMemoryError), preventing legitimate connections from being processed. Versions 4.1.135.Final and 4.2.15.Final patch the issue.