BDU:2026-09787

Опубликовано: 05 мая 2026

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость компонента io.netty.handler.codec.http3.QpackDecoder фреймворка для разработки сетевых приложений, серверов и клиентов протоколов Netty связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Наименование ПО

Red Hat Single Sign-On

Red Hat AMQ Broker

Red Hat Process Automation

Red Hat Data Grid

РЕД ОС

OpenShift Serverless

Red Hat JBoss Enterprise Application Platform

Red Hat build of OptaPlanner

Red Hat Build of Keycloak

Red Hat Fuse

Red Hat AMQ Clients

Red Hat build of Apicurio Registry

Streams for Apache Kafka

Red Hat build of Debezium

Red Hat OpenShift AI

Netty

Red Hat OpenShift Dev Spaces

Red Hat build of Apache Camel for Quarkus

Версия ПО

7 (Red Hat Single Sign-On)

7 (Red Hat AMQ Broker)

7 (Red Hat Process Automation)

8 (Red Hat Data Grid)

7.3 (РЕД ОС)

- (OpenShift Serverless)

7 (Red Hat JBoss Enterprise Application Platform)

8 (Red Hat build of OptaPlanner)

- (Red Hat Build of Keycloak)

7 (Red Hat Fuse)

- (Red Hat AMQ Clients)

2 (Red Hat build of Apicurio Registry)

2 (Streams for Apache Kafka)

3 (Streams for Apache Kafka)

8.0 (РЕД ОС)

3 (Red Hat build of Debezium)

- (Red Hat OpenShift AI)

2.9.4 (Streams for Apache Kafka)

до 4.1.133 (Netty)

от 4.2.0 до 4.2.13 (Netty)

3.29 (Red Hat OpenShift Dev Spaces)

HawtIO 4 (Red Hat build of Apache Camel for Quarkus)

Тип ПО

Сетевое программное средство

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «Ред Софт» РЕД ОС 8.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7.8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7.5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Netty:

https://github.com/netty/netty/releases#release-netty-4.2.13.Final

Для Ред ОС:

https://redos.red-soft.ru/support/secure/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2026-42583

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2026-42583
CVE

EPSS

Процентиль: 35%

0.00429

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2026-42583

CVSS3: 7.5

ubuntu

3 месяца назад

Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, Lz4FrameDecoder allocates a ByteBuf of size decompressedLength (up to 32 MB per block) before LZ4 runs. A peer only needs a 21-byte header plus compressedLength payload bytes - 22 bytes if compressedLength == 1 - to force that allocation. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.

CVE-2026-42583

CVSS3: 7.5

redhat

3 месяца назад

CVE-2026-42583

CVSS3: 7.5

nvd

3 месяца назад

CVE-2026-42583

CVSS3: 7.5

debian

3 месяца назад

Netty is an asynchronous, event-driven network application framework. ...

ROS-20260624-73-0028

CVSS3: 7.5

redos

около 1 месяца назад

Уязвимость netty

EPSS

Процентиль: 35%

0.00429

Низкий

7.5 High

CVSS3

7.8 High

CVSS2