CVE-2026-93575
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
### Podsumowanie
Poprawka Netty dotycząca CVE-2026-44248 jest niekompletna. Dekoder sprawdza, czy „Pozostała długość” pakietu MQTT przekracza „maxBytesInMessage”, ale nie porównuje „Właściwości długości” z „Pozostała długością”. Osoba atakująca może ominąć limit rozmiaru, wysyłając małą „Pozostała długość”, ale ogromną „Właściwości długości”. Zmusza to Netty do buforowania i analizowania milionów właściwości, umożliwiając nieuwierzytelnionemu zdalnemu atakującemu wyzwolenie nadmiernego zużycia pamięci i procesora, co prowadzi do błędu OutOfMemoryError.
### Szczegóły
W `io.netty.handler.codec.mqtt.MqttDecoder` metoda pomocnicza `decodeProperties()` odczytuje `totalPropertiesLength` i próbuje przeanalizować odpowiednią liczbę bajtów. Jeśli bufor nie ma pełnej długości, generowany jest „Sygnał”. Blok `catch` wewnątrz `decode()` wymusza jedynie `maxBytesInMessage` w stosunku do `bytesRemainingBeforeVariableHeader` (`Pozostała długość pakietu`.
Wysyłając pakiet „CONNECT” z małą „Pozostała długością”, ale dużą „Właściwościami długości”, sprawdzanie rozmiaru przebiega pomyślnie. Następnie `ReplayingDecoder` buforuje dane z sieci aż do osiągnięcia ogromnej `Długości właściwości`, analizując miliony obiektów `UserProperty` oraz obciążając procesor i pamięć.
#
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org