Intel

CVE-2026-42584

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

criticalEPSS 0.8 %

Beschreibung

Netty ist ein asynchroner, ereignisgesteuerter Netzwerk-Anwendungs-Framework. Vor Versionen 4.2.13.Final und 4.1.133.Final ordnet HttpClientCodec jede eingehende Antwort einer ausgehenden Anfrage zu, indem queue.poll() einmal pro Antwort aufgerufen wird, einschließlich für Antworten der Klasse 1xx. Wenn der Client GET gefolgt von HEAD pipet und der Server eine 103-Antwort sendet, dann 200 mit dem GET-Body, gefolgt von einer weiteren 200 für HEAD, ordnet die Queue die HEAD-Anfrage der ersten 200-Antwort zu. Die Regel für HEAD überspringt das Lesen des Körpers dieser Nachricht, wodurch die Bytes des GET-Entitätskörpers im Stream verbleiben und die folgende 200-Antwort vom falschen Offset aus analysiert wird. Diese Schwachstelle wurde in den Versionen 4.2.13.Final und 4.1.133.Final behoben.

Quelle: BSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFUBUNTU_USNOSVNVDCVEORGCVELISTV5EUVD

Metriken

Severity
critical
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
9.1
Quelle: nvd-v3
CVSS v3
7.3
CVSS v4
—
EPSS-Perzentil
53.8 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.8 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-444

Weakness-Klassen (CWE)

  • CWE-444Base

    Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')

    The product acts as an intermediary HTTP agent (such as a proxy or firewall) in the data flow between two entities such as a client and server, but it does not interpret malformed HTTP requests or responses in ways that are consistent with how the messages will be processed by those entities that are at the ultimate destination.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-09 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42584.json">CVE-2026-42584</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:65126
  2. CVE Modified2026-09-07 13:19 UTC· security-advisories@github.com
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-57rv-r2g8-2cj3
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-57rv-r2g8-2cj3
    • Reference Type: https://github.com/netty/netty/security/advisories/GHSA-57rv-r2g8-2cj3 Types: Exploit, Vendor Advisory
  3. CVE Modified2026-09-07 13:19 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-57rv-r2g8-2cj3
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-57rv-r2g8-2cj3
    • Reference Type: https://github.com/netty/netty/security/advisories/GHSA-57rv-r2g8-2cj3 Types: Exploit, Vendor Advisory
  4. CVE Modified2026-09-07 13:19 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42584.json">CVE-2026-42584</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:23808
    • Reference: https://access.redhat.com/errata/RHSA-2026:24502
    • Reference: https://access.redhat.com/errata/RHSA-2026:25123
  5. CVE Modified2026-08-21 13:17 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+70) → Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+70)

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-42584