Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-09804

Опубликовано: 05 мая 2026
Источник: fstec
CVSS3: 9.1
CVSS2: 9.4
EPSS Низкий

Описание

Уязвимость компонента HttpClientCodec фреймворка для разработки сетевых приложений, серверов и клиентов протоколов Netty связана с недостатками обработки http-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность и доступность защищаемой информации

Вендор

Canonical Ltd.
Red Hat Inc.
ООО «Ред Софт»
Сообщество свободного программного обеспечения

Наименование ПО

Ubuntu
Red Hat Single Sign-On
Red Hat AMQ Broker
Red Hat Process Automation
Red Hat Data Grid
Red Hat JBoss Enterprise Application Platform Expansion Pack
РЕД ОС
OpenShift Serverless
Red Hat JBoss Enterprise Application Platform
Red Hat build of OptaPlanner
Red Hat Build of Keycloak
Red Hat Fuse
Red Hat AMQ Clients
Red Hat build of Apicurio Registry
Cryostat
Streams for Apache Kafka
Red Hat build of Debezium
Red Hat Enterprise Linux AI
Red Hat OpenShift AI
Red Hat build of Quarkus
Red Hat build of Apache Camel for Spring Boot
Netty
Red Hat OpenShift Dev Spaces

Версия ПО

14.04 LTS (Ubuntu)
16.04 LTS (Ubuntu)
18.04 LTS (Ubuntu)
7 (Red Hat Single Sign-On)
20.04 LTS (Ubuntu)
7 (Red Hat AMQ Broker)
7 (Red Hat Process Automation)
8 (Red Hat Data Grid)
- (Red Hat JBoss Enterprise Application Platform Expansion Pack)
7.3 (РЕД ОС)
22.04 LTS (Ubuntu)
- (OpenShift Serverless)
7 (Red Hat JBoss Enterprise Application Platform)
8 (Red Hat build of OptaPlanner)
- (Red Hat Build of Keycloak)
8 (Red Hat JBoss Enterprise Application Platform)
24.04 LTS (Ubuntu)
7 (Red Hat Fuse)
- (Red Hat AMQ Clients)
2 (Red Hat build of Apicurio Registry)
4 on RHEL 9 (Cryostat)
3 (Streams for Apache Kafka)
8.0 (РЕД ОС)
3 (Red Hat build of Apicurio Registry)
3 (Red Hat build of Debezium)
3 (Red Hat Enterprise Linux AI)
- (Red Hat OpenShift AI)
26.04 LTS (Ubuntu)
3.27.4 (Red Hat build of Quarkus)
3.33.2 (Red Hat build of Quarkus)
3.5.16 (Red Hat build of Apache Camel for Spring Boot)
до 4.1.133 (Netty)
от 4.2.0 до 4.2.13 (Netty)
3.29 (Red Hat OpenShift Dev Spaces)
3.28 (Red Hat OpenShift Dev Spaces)

Тип ПО

Операционная система
Сетевое программное средство
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS
Canonical Ltd. Ubuntu 16.04 LTS
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 20.04 LTS
ООО «Ред Софт» РЕД ОС 7.3
Canonical Ltd. Ubuntu 22.04 LTS
Canonical Ltd. Ubuntu 24.04 LTS
ООО «Ред Софт» РЕД ОС 8.0
Red Hat Inc. Red Hat Enterprise Linux AI 3
Canonical Ltd. Ubuntu 26.04 LTS

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,1)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для Netty:
https://github.com/netty/netty/releases#release-netty-4.2.13.Final
Для Ред ОС:
https://redos.red-soft.ru/support/secure/
Для Ubuntu:
https://ubuntu.com/security/CVE-2026-42584
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2026-42584

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 51%
0.0075
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVSS3: 7.3
ubuntu
3 месяца назад

Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, HttpClientCodec pairs each inbound response with an outbound request by queue.poll() once per response, including for 1xx. If the client pipelines GET then HEAD and the server sends 103, then 200 with GET body, then 200 for HEAD, the queue pairs HEAD with the first 200. The HEAD rule then skips reading that message’s body, so the GET entity bytes stay on the stream and the following 200 is parsed from the wrong offset. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.

CVSS3: 7.3
redhat
3 месяца назад

Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, HttpClientCodec pairs each inbound response with an outbound request by queue.poll() once per response, including for 1xx. If the client pipelines GET then HEAD and the server sends 103, then 200 with GET body, then 200 for HEAD, the queue pairs HEAD with the first 200. The HEAD rule then skips reading that message’s body, so the GET entity bytes stay on the stream and the following 200 is parsed from the wrong offset. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.

CVSS3: 7.3
nvd
3 месяца назад

Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, HttpClientCodec pairs each inbound response with an outbound request by queue.poll() once per response, including for 1xx. If the client pipelines GET then HEAD and the server sends 103, then 200 with GET body, then 200 for HEAD, the queue pairs HEAD with the first 200. The HEAD rule then skips reading that message’s body, so the GET entity bytes stay on the stream and the following 200 is parsed from the wrong offset. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.

CVSS3: 7.3
debian
3 месяца назад

Netty is an asynchronous, event-driven network application framework. ...

CVSS3: 9.1
redos
около 1 месяца назад

Уязвимость netty

EPSS

Процентиль: 51%
0.0075
Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2