CVE-2026-73508 Netty — эксплойт и детали уязвимости MEDIUM

Параметр	Значение
CVSS	5,3 (MEDIUM)
Тип уязвимости	CWE-772
Поставщик	Netty
Публичный эксплойт	Нет

Netty — это асинхронная платформа сетевых приложений, управляемая событиями. До версий 4.1.136.Final и 4.2.16.Final io.netty.handler.codec.dns.AbstractDnsRecord, io.netty.handler.codec.dns.DefaultDnsRecordDecoder.decodeRecord() и io.netty.handler.codec.dns.DnsCodecUtil.decompressDomainName() не смогли освободить сохраненные или вновь выделенные ByteBuf возражает, когда IDN.toASCII() или encodeDomainName() отклоняет неправильное имя домена, позволяя неаутентифицированным удаленным пакетам DNS постепенно просачивать прямую память до отказа в обслуживании. Эта проблема исправлена в версиях 4.1.136.Final и 4.2.16.Final.

Показать оригинальное описание (EN)

Netty is an asynchronous, event-driven network application framework. Prior to 4.1.136.Final and 4.2.16.Final, io.netty.handler.codec.dns.AbstractDnsRecord, io.netty.handler.codec.dns.DefaultDnsRecordDecoder.decodeRecord(), and io.netty.handler.codec.dns.DnsCodecUtil.decompressDomainName() failed to release retained or newly allocated ByteBuf objects when IDN.toASCII() or encodeDomainName() rejected a malformed domain name, allowing unauthenticated remote DNS packets to leak direct memory incrementally until denial of service. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.