CVE-2026-59902
Netty: Memory Exhaustion in SctpMessageCompletionHandler
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.1.137.Final, 4.2.17.Final
Обновите библиотеку Netty до версий 4.1.137.Final или 4.2.17.Final.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Исчерпание оперативной памяти (DoS) в обработчике протокола SCTP фреймворка Netty. Дефект вызван отсутствием лимита на суммарный размер буферизованных байтов.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Класс io.netty.handler.codec.sctp.SctpMessageCompletionHandler контролирует только количество незавершенных сообщений и фрагментов, игнорируя проверку общего объема maxBufferedBytes.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Отказ в обслуживании (DoS) из-за неконтролируемого переполнения кучи (OOM) при отправке фрагментов SCTP большого размера неаутентифицированным клиентом.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
nettynetty
все ранние➔Fix: 4.1.137.Final
nettynetty
>= 4.2.0.Final➔Fix: 4.2.17.Final
——
>= 4.2.0.Final➔Fix: 4.2.17.Final
——
>= 0➔Fix: 4.1.137.Final
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/netty/netty/security/advisories/GHSA-2qj4-mmr9-4v2f
- github.comhttps://github.com/netty/netty/pull/17213
- github.comhttps://github.com/netty/netty/pull/17217
- github.comhttps://github.com/netty/netty/commit/1b5abc6443b63726c72cdd285af2feb7ddbb8ff7
- github.comhttps://github.com/netty/netty/releases/tag/netty-4.1.137.Final
- github.comhttps://github.com/netty/netty/releases/tag/netty-4.2.17.Final
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-59902: Netty: Memory Exhaustion in SctpMessageCompletionHandler. URL: https://cve.futuretools.ru/cve/CVE-2026-59902
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_59902,
title = {{CVE-2026-59902: Netty: Memory Exhaustion in SctpMessageCompletionHandler}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-59902}},
note = {Оперативный инженерный анализ киберугроз}
}