CVE-2026-44250
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
W bibliotece Netty (komponent netty-codec-redis) przed wersjami 4.1.135.Final i 4.2.15.Final wykryto podatność na atak DoS. Atakujący może wysłać spreparowany ładunek Redis z głęboko zagnieżdżonymi tablicami, co powoduje alokację ogromnej liczby obiektów stanu i kolekcji, prowadząc do wyczerpania pamięci i błędu OutOfMemoryError.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wywołania odmowy usługi (DoS) poprzez wysłanie specjalnie skonstruowanego zapytania Redis. Może to doprowadzić do wyczerpania pamięci serwera i przerwania działania aplikacji korzystających z podatnej wersji Netty.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Netty do wersji 4.1.135.Final lub 4.2.15.Final (lub nowszej). Jeśli aktualizacja nie jest możliwa, należy rozważyć ograniczenie dostępu do serwisu Redis tylko do zaufanych źródeł.
Oryginalny opis (angielski, źródło NVD)
Netty is a network application framework for development of protocol servers and clients. In netty-codec-redis prior to versions 4.1.135.Final and 4.2.15.Final, an attacker can cause DoS by sending a crafted Redis payload with deeply nested arrays. This forces the server to allocate a massive number of state objects and collections, leading to memory exhaustion and an OutOfMemoryError. Versions 4.1.135.Final and 4.2.15.Final patch the issue.