Intel

CVE-2026-48043

Red Hat Security Advisory: Streams for Apache Kafka 3.2.1 release and security update

highEPSS 0.6 %

Beschreibung

Netty ist ein Framework für Netzwerk-Anwendungen zur Entwicklung von Protokoll-Servern und -Clients. In der Version netty-codec-http2 vor den Versionen 4.1.135.Final und 4.2.15.Final orchestriert die Klasse `DelegatingDecompressorFrameListener` die HTTP/2-Dekompression, indem sie einen pro-Stream `EmbeddedChannel` einbettet, der das entsprechende Dekompressionscodec (gzip, deflate, zstd) ausführt und dekomprimierte Chunks an einen umschlossenen Listener weiterleitet. Jeder dekomprimierte Chunk ist ein gepooltes `ByteBuf`, das einem anonymen `ChannelInboundHandlerAdapter`-Tail-Handler übergeben wird, der zum alleinigen Besitzer wird und für dessen Freigabe verantwortlich ist. Ein entfernter Peer könnte Frames senden, die dazu führen, dass der Flow-Controller eine Ausnahme wirft und so einen Ressourcenleck auslöst, das letztendlich den gesamten JVM aufgrund einer OOME zum Absturz bringen könnte. Die Versionen 4.1.135.Final und 4.2.15.Final beheben dieses Problem.

Quelle: BSIBSI_CSAFBSI_CSAFBSIREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFBSIBSI_CSAFREDHAT_CSAFREDHAT_CSAFREDHAT_CSAFOSVNVDCVEORGCVELISTV5

Metriken

Severity
high
Priority-Score
137.09
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
7.5
Quelle: nvd-v3
CVSS v3
5.3
CVSS v4
—
EPSS-Perzentil
47.5 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.6 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-12 19:35 UTC
CWE
CWE-400, CWE-401

Weakness-Klassen (CWE)

  • CWE-400Class

    Uncontrolled Resource Consumption

    The product does not properly control the allocation and maintenance of a limited resource.

    cwe.mitre.org →

  • CWE-401Variant

    Missing Release of Memory after Effective Lifetime

    The product does not sufficiently track and release allocated memory after it has been used, making the memory unavailable for reallocation and reuse.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-09-09 13:20 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/48xxx/CVE-2026-48043.json">CVE-2026-48043</a>
    • Reference: https://access.redhat.com/errata/RHSA-2026:65126
  2. CVE Modified2026-08-05 13:23 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:50085
    • Affected: Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+48) → Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+49)
  3. CVE Modified2026-07-30 12:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:48124
    • Reference: https://access.redhat.com/errata/RHSA-2026:48151
    • Affected: Red Hat Build of Apache Camel 3.33 for Quarkus 3.33.2.SP1, Red Hat build of Apache Camel 4.18.1.P1 for Spring Boot 3.5.16, Red Hat build of Quarkus 3.27.4.SP1 (+46) → Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9, Cryostat 4 on RHEL 9 (+48)
  4. CVE Modified2026-07-21 12:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:41951
    • Affected: Red Hat Build of Apache Camel 3.33 for Quarkus 3.33.2.SP1, Red Hat build of Apache Camel 4.18.1.P1 for Spring Boot 3.5.16, Red Hat build of Quarkus 3.27.4.SP1 (+46) → Red Hat Build of Apache Camel 3.33 for Quarkus 3.33.2.SP1, Red Hat build of Apache Camel 4.18.1.P1 for Spring Boot 3.5.16, Red Hat build of Quarkus 3.27.4.SP1 (+46)
  5. CVE Modified2026-07-09 13:17 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
    • Reference: https://access.redhat.com/errata/RHSA-2026:36820
    • Affected: Red Hat Build of Apache Camel 3.33 for Quarkus 3.33.2.SP1, Red Hat build of Quarkus 3.27.4.SP1, Red Hat build of Quarkus 3.33.2.SP1 (+19) → Red Hat Build of Apache Camel 3.33 for Quarkus 3.33.2.SP1, Red Hat OpenShift Dev Spaces 3.29, Red Hat build of Quarkus 3.27.4.SP1 (+20)

Betroffene Betriebssysteme

  • linux

    ubuntu / nettynoble

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • apache

    kafka2.8.0 – 3.9.2

  • apache

    kafka4.0.0 – 4.0.2

  • apache

    kafka4.1.0 – 4.1.2

  • Atlassian

    BambooData Center LTS 10.2.22

  • Atlassian

    BambooData Center LTS 12.1.10

  • Atlassian

    BitbucketData Center 10.4.2

  • Atlassian

    BitbucketData Center LTS 10.2.6

  • Atlassian

    BitbucketData Center LTS 9.4.23

  • Atlassian

    ConfluenceData Center LTS 10.2.15

  • Atlassian

    ConfluenceData Center LTS 9.2.23

  • Atlassian

    Crucible4.9.13

  • Atlassian

    Fisheye4.9.13

  • Atlassian

    JiraData Center LTS 10.3.24

  • Atlassian

    JiraData Center LTS 11.3.10

  • bitnami

    golang1.26.0-0

  • eclipse

    vert.x4.0.0 – 4.5.29

  • eclipse

    vert.x5.0.0 – 5.1.4

  • go

    stdlib1.26.0-0

  • golang

    go1.26.0 – 1.26.2

  • golang

    go1.26.0 – 1.26.3

  • golang

    go1.25.10

  • golang

    go1.25.9

  • golang

    net0.55.0

  • IBM

    QRadar SIEM<7.5.0 UP15 IF06

Quellen & Referenzen

Verknüpfte CVEs

33 weitere CVEs anzeigen
IDCVE-2026-48043