Intel

CVE-2026-42587

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 1 %

Beschreibung

Netty ist ein asynchroner, ereignisgesteuerter Netzwerk-Anwendungs-Framework. Vor Versionen 4.2.13.Final und 4.1.133.Final akzeptiert HttpContentDecompressor einen maxAllocation-Parameter, um die Größe des Dekompressionspuffers zu begrenzen und Angriffe durch Dekompressionsexplosionen zu verhindern. Diese Begrenzung wird korrekt für gzip- und deflate-Codierungen über ZlibDecoder durchgesetzt, aber sie wird stillschweigend ignoriert, wenn die Inhaltscodierung br (Brotli), zstd oder snappy ist. Ein Angreifer kann die konfigurierte Dekompressionsbegrenzung umgehen, indem er eine mit Content-Encoding: br komprimierte Nutzlast sendet anstelle von Content-Encoding: gzip, was zu unbegrenzter Speicherzuweisung und einem Denial-of-Service durch Speicherauslaufen führt. Die gleiche Schwachstelle besteht in DelegatingDecompressorFrameListener für HTTP/2-Verbindungen. Diese Schwachstelle wird in Versionen 4.2.13.Final und 4.1.133.Final behoben.

Quelle: BSIBSI_CSAFBSIBSI_CSAFBSIBSI_CSAFBSI_CSAFBSIREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFBSI_CSAFBSIBSIBSI_CSAFREDHAT_CSAFBSI_CSAFBSIREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFEUVDNVDCVEORGCVELISTV5OSV

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
7.5
CVSS v4
—
EPSS-Perzentil
60.5 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
1.0 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-400

Weakness-Klassen (CWE)

  • CWE-400Class

    Uncontrolled Resource Consumption

    The product does not properly control the allocation and maintenance of a limited resource.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-09 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42587.json">CVE-2026-42587</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:65126
  2. CVE Modified2026-09-07 13:19 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42587.json">CVE-2026-42587</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:49700
  3. CVE Modified2026-09-03 13:05 UTC· security-advisories@github.com
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-f6hv-jmp6-3vwv
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-f6hv-jmp6-3vwv
    • Reference Type: https://github.com/netty/netty/security/advisories/GHSA-f6hv-jmp6-3vwv Types: Exploit, Mitigation, Vendor Advisory
  4. CVE Modified2026-09-03 13:05 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-f6hv-jmp6-3vwv
    • Reference: https://github.com/netty/netty/security/advisories/GHSA-f6hv-jmp6-3vwv
    • Reference Type: https://github.com/netty/netty/security/advisories/GHSA-f6hv-jmp6-3vwv Types: Exploit, Mitigation, Vendor Advisory
  5. CVE Modified2026-09-03 13:05 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/42xxx/CVE-2026-42587.json">CVE-2026-42587</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:23808
    • Reference: https://access.redhat.com/errata/RHSA-2026:24502
    • Reference: https://access.redhat.com/errata/RHSA-2026:25123

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-42587