Intel

CVE-2026-42578

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 1.1 %

Beschreibung

Netty ist ein asynchroner, ereignisgesteuerter Netzwerk-Anwendungs-Framework. Vor Versionen 4.2.13.Final und 4.1.133.Final konstruiert Netty's HttpProxyHandler HTTP CONNECT Anfragen mit deaktivierter expliziter Header-Validierung. Die Methode newInitialMessage() erstellt Header unter Verwendung von DefaultHttpHeadersFactory.headersFactory().withValidation(false) und fügt dann benutzerdefinierte ausgehende Headers ohne jegliche CRLF-Validierung hinzu. Dies ermöglicht es einem Angreifer, der die ausgehenden Headers beeinflussen kann, beliebige HTTP Header in die CONNECT Anfrage einzufügen, die an den Proxy-Server gesendet wird. Diese Schwachstelle ist in Versionen 4.2.13.Final und 4.1.133.Final behoben.

Quelle: REDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFNVDCVEORGCVELISTV5UBUNTU_USNOSVEUVD

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
7.5
CVSS v4
2.9
EPSS-Perzentil
62.7 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
1.1 %
Moderat — Modell schätzt 1-10 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-113

Weakness-Klassen (CWE)

  • CWE-113Variant

    Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Request/Response Splitting')

    The product receives data from an HTTP agent/component (e.g., web server, proxy, browser, etc.), but it does not neutralize or incorrectly neutralizes CR and LF characters before the data is included in outgoing HTTP headers.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-09 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42578.json">CVE-2026-42578</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:65126
  2. CVE Modified2026-09-07 13:19 UTC· security-advisories@github.com
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-45q3-82m4-75jr
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-45q3-82m4-75jr
    • Reference Type: https://github.com/netty/netty/security/advisories/GHSA-45q3-82m4-75jr Types: Exploit, Mitigation, Vendor Advisory
  3. CVE Modified2026-09-07 13:19 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-45q3-82m4-75jr
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-45q3-82m4-75jr
    • Reference Type: https://github.com/netty/netty/security/advisories/GHSA-45q3-82m4-75jr Types: Exploit, Mitigation, Vendor Advisory
  4. CVE Modified2026-09-07 13:19 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42578.json">CVE-2026-42578</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:23808
    • Reference: https://access.redhat.com/errata/RHSA-2026:24502
    • Reference: https://access.redhat.com/errata/RHSA-2026:25123
  5. CVE Modified2026-07-21 12:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:42644
    • Affected: Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+53) → Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+53)

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-42578