CVE-2022-41881: falha de média gravidade em netty
Publicada em · Atualizada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
13Vexday Risk Score
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
ssvc Trackcvss 5.3epss 1.6%
Em resumo
O decodificador de mensagens proxy HTTP do Netty pode causar uma falha de estouro de pilha ao processar mensagens malformadas especialmente crafted, resultando em negação de serviço.
Detalhe técnico
Uma vulnerabilidade de recursão infinita no HaProxyMessageDecoder (CWE-674) permite que atacantes remotos disparem StackOverflowError através de mensagens malformadas, resultando em crash da aplicação. Sem autenticação necessária; vetor de ataque é rede e afeta versões anteriores a 4.1.86.Final.
Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty project is an event-driven asynchronous network application framework. In versions prior to 4.1.86.Final, a StackOverflowError can be raised when parsing a malformed crafted message due to an infinite recursion. This issue is patched in version 4.1.86.Final. There is no workaround, except using a custom HaProxyMessageDecoder.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
netty · nettyCVEs relacionadas — netty
No mesmo produto, das mais perigosas para as menos.
CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2025-59419MEDIUMNetty netty-codec-smtp SMTP Command Injection Vulnerability Allowing Email ForgeryEPSS 1.6%