There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final, when decoding
    header blocks, the non-Huffman branch of
    io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteral may execute new byte[length] for a
    string literal before verifying that length bytes are actually present in the compressed field section.
    The wire encoding allows a very large length to be expressed in few bytes. There is no check that length
    <= in.readableBytes() before new byte[length]. This vulnerability is fixed in 4.2.13.Final.
    (CVE-2026-42582)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 是一个异步、事件驱动的网络应用程序框架。在低于 4.2.13.Final 的版本中，当解码标头块时，io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteral 的非 Huffman 分支可能会在验证压缩字段部分中确实存在长度字节之前，为字符串文本执行新的 byte[length]。
    线路编码允许在几个字节中表示非常大的长度。没有在新的 byte[length] 之前检查长度 <= in.readableBytes（）。此漏洞已在 4.2.13.Final 中修复。
    (CVE-2026-42582)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Netty 是一個非同步、事件驅動的網路應用程式架構。在 4.2.13.Final 之前，解碼標頭區塊時，io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteral 的非 Huffman 分支可能會針對字串常值執行新的 byte[length]，然後再驗證壓縮欄位區段中確實存在長度位元組。
    有線編碼允許以幾個位元組表示非常大的長度。沒有檢查 length <= in.readableBytes（） 在新 byte[length] 之前。此弱點已於 4.2.13.Final 中修正。
    (CVE-2026-42582)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Nettyは、非同期のイベント駆動型ネットワークアプリケーションフレームワークです。4.2.13.Finalより前は、ヘッダーブロックをデコードするとき、io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteralの非Huffmanブランチが、長さバイトが圧縮フィールドセクションに実際に存在することを確認する前に、文字列リテラルに対して新しいbyte[length]を実行する可能性があります。
    ワイヤエンコーディングにより、非常に長い長さを数バイトで表現できます。新しい byte[length] の前の長さ <= in.readableBytes() のチェックはありません。この脆弱性は 4.2.13.Final で修正されています。
    (CVE-2026-42582)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2308-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    netty、netty-tcnative 用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-41417: 検証の欠如により、DefaultHttpRequest.setUri() におけるスタートライン挿入を介した HTTP リクエストスマグリングおよび RTSP リクエストインジェクションが発生する (bsc#1264350)。
    - CVE-2026-42578: HttpProxyHandler 経由の HTTP ヘッダー注入により、netty での検証が無効になる (bsc#1265243)。
    - CVE-2026-42579: DNS コーデックが、エンコーディング中またはデコーディング中にも RFC 1035 ドメイン名の制約を強制しない (bsc#1265272)。
    - CVE-2026-42580: チャンクサイズパーサーが int の整数オーバーフローをサイレントに発生させ、リクエストスマグリング攻撃を可能にする (bsc#1265273)。
    - CVE-2026-42581: HTTP/1.0 リクエストでの TE+CL ヘッダーの共存により、スマグリングサニタイズがバイパスされる (bsc#1265277)。
    - CVE-2026-42583:「Lz4FrameDecoder」を介したリソース枯渇とサービス拒否の可能性 (bsc#1265279)。
    - CVE-2026-42584:「HttpClientCodec」での受信応答の不適切な処理が、応答の非同期化を引き起こす可能性 (bsc#1265280)。
    - CVE-2026-42585: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265292)。
    - CVE-2026-42586:Netty Redis コーデックエンコーダーにおける CRLF インジェクション (bsc#1265245)。
    - CVE-2026-42587: Content-Encoding: br/zstd/snappy を介した HttpContentDecompressor の maxAllocation バイパスにより、解凍爆弾による DoS が可能になる (bsc#1265246)。
    - CVE-2026-44248: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265294)。
    - CVE-2026-42582: HTTP/3 QPACK リテラル無制限割り当て (bsc#1265318)。

    netty の変更: 

    - アップストリームバージョン 4.1.133 にアップグレード

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final, when decoding     header blocks, the non-Huffman branch of     io.netty.handler.codec.http3.QpackDecoder#decodeHuffmanEncodedLiteral may execute new byte[length] for a     string literal before verifying that length bytes are actually present in the compressed field section.
    The wire encoding allows a very large length to be expressed in few bytes. There is no check that length     <= in.readableBytes() before new byte[length]. This vulnerability is fixed in 4.2.13.Final.
    (CVE-2026-42582)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2308-1 advisory.

    This update for netty, netty-tcnative fixes the following issues

    - CVE-2026-41417: missing validations leads to HTTP request smuggling and RTSP request injection via     start-line       injection in `DefaultHttpRequest.setUri()` (bsc#1264350).
    - CVE-2026-42578: HTTP Header Injection via HttpProxyHandler Disabled Validation in Netty (bsc#1265243).
    - CVE-2026-42579: DNS codec does not enforce RFC 1035 domain name constraints during either encoding or     decoding       (bsc#1265272).
    - CVE-2026-42580: chunk size parser silently overflows int and enables request smuggling attacks     (bsc#1265273).
    - CVE-2026-42581: TE+CL header coexistence in HTTP/1.0 requests bypasses smuggling sanitization     (bsc#1265277).
    - CVE-2026-42583: resource exhaustion and possible denial of service via `Lz4FrameDecoder` (bsc#1265279).
    - CVE-2026-42584: improper handling of inbound responses in `HttpClientCodec` can lead to response     desynchronization       (bsc#1265280).
    - CVE-2026-42585: Netty is an asynchronous, event-driven network application framework (bsc#1265292).
    - CVE-2026-42586: CRLF Injection in Netty Redis Codec Encoder (bsc#1265245).
    - CVE-2026-42587: HttpContentDecompressor maxAllocation bypass via Content-Encoding: br/zstd/snappy     enables       decompression bomb DoS (bsc#1265246).
    - CVE-2026-44248: Netty is an asynchronous, event-driven network application framework (bsc#1265294).
    - CVE-2026-42582: HTTP/3 QPACK literal unbounded allocation (bsc#1265318).

    Changes for netty:

    - Upgrade to upstream version 4.1.133

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
441364	SCA: security update for io.netty:netty-codec-http3 (GHSA-2c5c-chwr-9hqw)	Tenable Self-Hosted Container Security	SCA Checks	5/7/2026	7/2/2026	high
441364	SCA: security update for io.netty:netty-codec-http3 (GHSA-2c5c-chwr-9hqw)	Tenable Cloud Security	SCA Checks	5/7/2026	7/2/2026	high
314845	Linux Distros 未修补的漏洞：CVE-2026-42582	Nessus	Misc.	5/14/2026	7/16/2026	high
314845	Linux Distros 未修補的弱點：CVE-2026-42582	Nessus	Misc.	5/14/2026	7/16/2026	high
314845	Linux Distros のパッチ未適用の脆弱性: CVE-2026-42582	Nessus	Misc.	5/14/2026	7/16/2026	high
321020	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	6/14/2026	6/14/2026	medium
314845	Linux Distros Unpatched Vulnerability : CVE-2026-42582	Nessus	Misc.	5/14/2026	7/16/2026	high
321020	SUSE SLED15 / SLES15 Security Update : netty, netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	6/14/2026	6/14/2026	medium

Detections

Analytics

Plugins Search

high

high

high

high

high

medium

high

medium