CVE-2025-58057mediumCWE-409

CVE-2025-58057: falha de média gravidade em netty

Netty's BrotliDecoder is vulnerable to DoS via zip bomb style attack

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar netty+ Monitorar netty

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.9epss 0.6%
Em resumo

O decompressor Brotli do Netty pode ser travado por um arquivo compactado especialmente criado que o força a criar muitos buffers de memória, semelhante a um ataque de zip bomb. Isso faz o aplicativo ficar sem memória e parar de funcionar.

Detalhe técnico

BrotliDecoder.decompress não limita quantas vezes descompacta dados em blocos de 64KB, alocando buffers na lista de saída sem restrição até esgotar a memória. Afeta netty-codec-compression ≤4.1.124.Final e netty-codec ≤4.2.4.Final. Um atacante remoto pode enviar entrada Brotli maliciosa para provocar negação de serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty is an asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In netty-codec-compression versions 4.1.124.Final and below, and netty-codec versions 4.2.4.Final and below, when supplied with specially crafted input, BrotliDecoder and certain other decompression decoders will allocate a large number of reachable byte buffers, which can lead to denial of service. BrotliDecoder.decompress has no limit in how often it calls pull, decompressing data 64K bytes at a time. The buffers are saved in the output list, and remain reachable until OOM is hit. This is fixed in versions 4.1.125.Final of netty-codec and 4.2.5.Final of netty-codec-compression.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
Produtos afetados
netty · netty
CVEs relacionadas — netty

No mesmo produto, das mais perigosas para as menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%