Tóm tắt nhanh
- CVE-2025-24970 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng io.netty:netty-handler, netty (netty).
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 2.2%, cao hơn 82.5% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 4.1.118.Final, 4.1.118 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| io.netty:netty-handler Maven | ≥ 4.1.91.Final, < 4.1.118.Final
| 4.1.118.Final
|
| netty | ≥ 4.1.91, < 4.1.118
| 4.1.118
|
Mô tả
Impact
When a special crafted packet is received via SslHandler it doesn't correctly handle validation of such a packet in all cases which can lead to a native crash.
Workarounds
As workaround its possible to either disable the usage of the native SSLEngine or changing the code from:
SslContext context = ...;
SslHandler handler = context.newHandler(....);
to:
SslContext context = ...;
SSLEngine engine = context.newEngine(....);
SslHandler handler = new SslHandler(engine, ....);
Mô tả của NVD
Netty, an asynchronous, event-driven network application framework, has a vulnerability starting in version 4.1.91.Final and prior to version 4.1.118.Final. When a special crafted packet is received via SslHandler it doesn't correctly handle validation of such a packet in all cases which can lead to a native crash. Version 4.1.118.Final contains a patch. As workaround its possible to either disable the usage of the native SSLEngine or change the code manually.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí