CVE-2026-73508
Netty: Memory Leak in DNS Record Decoder via Malformed Domain Names
CVSS 3.1Medium
5.3/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.1.136.Final, 4.2.16.Final
Обновите зависимости Netty до версий 4.1.136.Final или 4.2.16.Final.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Утечка нативной памяти в декодере DNS-записей Netty при разборе некорректных доменных имен. Приводит к DoS приложения.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В классах `AbstractDnsRecord`, `DefaultDnsRecordDecoder.decodeRecord()` и `DnsCodecUtil.decompressDomainName()` не освобождаются буферы `ByteBuf`, если методы `IDN.toASCII()` или `encodeDomainName()` завершаются с ошибкой на некорректном домене.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Удаленный неавторизованный DoS: поток аномальных DNS-пакетов вызывает прогрессирующую утечку off-heap (direct) памяти до исчерпания ресурсов JVM.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
nettynetty
все ранние➔Fix: 4.1.136.Final
nettynetty
>= 4.2.0.Final➔Fix: 4.2.16.Final
——
>= 4.2.0.Final➔Fix: 4.2.16.Final
——
>= 0➔Fix: 4.1.136.Final
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/netty/netty/security/advisories/GHSA-mfg7-5gfp-c4w3
- github.comhttps://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b
- github.comhttps://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6
- github.comhttps://github.com/netty/netty/releases/tag/netty-4.1.136.Final
- github.comhttps://github.com/netty/netty/releases/tag/netty-4.2.16.Final
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-73508: Netty: Memory Leak in DNS Record Decoder via Malformed Domain Names. URL: https://cve.futuretools.ru/cve/CVE-2026-73508
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_73508,
title = {{CVE-2026-73508: Netty: Memory Leak in DNS Record Decoder via Malformed Domain Names}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-73508}},
note = {Оперативный инженерный анализ киберугроз}
}