Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Netty 是一種非同步事件驅動型網路應用程式架構，適用於快速開發可維護的高效能通訊協定伺服器和用戶端。在 netty-codec-compression 4.1.124.Final 和更低版本以及 netty-codec 4.2.4.Final 和更低版本中當提供特製的輸入時BrotliDecoder 和其他某些解壓縮解碼器將配置大量可存取的位元組緩衝區可導致拒絕服務。BrotliDecoder.decompress 對於呼叫提取的頻率沒有限制一次可解壓縮 64K 位元組的資料。緩衝區會儲存在輸出清單中並保持可連線狀態直到命中 OOM。
    此問題已在 netty-codec 的 4.1.125.Final 版和 netty-codec-compression 的 4.2.5.Final 版中修正。
    (CVE-2025-58057)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 是一个异步事件驱动的网络应用程序框架，用于快速开发可维护的高性能协议服务器和客户端。在 netty-codec-compression 版本 4.1.124.Final 及更低版本以及 netty-codec 版本 4.2.4.Final 及更低版本提供时提供特制的输入BrotliDecoder 和某些其他解压缩解码器将分配大量可访问的字节缓冲区，可导致拒绝服务。BrotliDecoder.decompress 对调用 pull 的频率没有限制可以一次解压缩 64K 字节的数据。缓冲区会保存在输出列表中，并且在遇到 OOM 之前一直保持可访问状态。
    此问题已在 netty-codec 的 4.1.125.Final 版本和 netty-codec-compression 的 4.2.5.Final 版本中修复。
    (CVE-2025-58057)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Netty is an asynchronous event-driven network application framework for rapid development of maintainable     high performance protocol servers & clients. In netty-codec-compression versions 4.1.124.Final and below,     and netty-codec versions 4.2.4.Final and below, when supplied with specially crafted input, BrotliDecoder     and certain other decompression decoders will allocate a large number of reachable byte buffers, which can     lead to denial of service. BrotliDecoder.decompress has no limit in how often it calls pull, decompressing     data 64K bytes at a time. The buffers are saved in the output list, and remain reachable until OOM is hit.
    This is fixed in versions 4.1.125.Final of netty-codec and 4.2.5.Final of netty-codec-compression.
    (CVE-2025-58057)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2025:03114-1 advisory.

    Upgrade to upstream version 4.1.126.

    Security issues fixed:

    - CVE-2025-58057: decompression codecs allocating a large number of buffers after processing specially     crafted input can       cause a denial of service (bsc#1249134).
    - CVE-2025-58056: incorrect parsing of chunk extensions can lead to request smuggling (bsc#1249116).
    - CVE-2025-55163: 'MadeYouReset' denial of serivce attack in the HTTP/2 protocol (bsc#1247991).

    Other issues fixed:

    - Fixes from version 4.1.126
      * Fix IllegalReferenceCountException on invalid upgrade response.
      * Drop unknown frame on missing stream.
      * Don't try to handle incomplete upgrade request.
      * Update to netty-tcnative 2.0.73Final.

    - Fixes from version 4.1.124
      * Fix NPE and AssertionErrors when many tasks are scheduled and cancelled.
      * HTTP2: Http2ConnectionHandler should always use Http2ConnectionEncoder.
      * Epoll: Correctly handle UDP packets with source port of 0.
      * Fix netty-common OSGi Import-Package header.
      * MqttConnectPayload.toString() includes password.

    - Fixes from version 4.1.123
      * Fix chunk reuse bug in adaptive allocator.
      * More accurate adaptive memory usage accounting.
      * Introduce size-classes for the adaptive allocator.
      * Reduce magazine proliferation eagerness.
      * Fix concurrent ByteBuffer access issue in AdaptiveByteBuf.getBytes.
      * Fix possible buffer corruption caused by incorrect setCharSequence(...) implementation.
      * AdaptiveByteBuf: Fix AdaptiveByteBuf.maxFastWritableBytes() to take writerIndex() into account.
      * Optimize capacity bumping for adaptive ByteBufs.
      * AbstractDnsRecord: equals() and hashCode() to ignore name field's case.
      * Backport Unsafe guards.
      * Guard recomputed offset access with hasUnsafe.
      * HTTP2: Always produce a RST frame on stream exception.
      * Correct what artifacts included in netty-bom.

    - Fixes from version 4.1.122
      * DirContextUtils.addNameServer(...) should just catch Exception internally.
      * Make public API specify explicit maxAllocation to prevent OOM.
      * Fix concurrent ByteBuf write access bug in adaptive allocator.
      * Fix transport-native-kqueue Bundle-SymbolicNames.
      * Fix resolver-dns-native-macos Bundle-SymbolicNames.
      * Always correctly calculate the memory address of the ByteBuf even if sun.misc.Unsafe is not usable.
      * Upgrade lz4 dependencies as the old version did not correctly handle ByteBuffer that have an     arrayOffset > 0.
      * Optimize ByteBuf.setCharSequence for adaptive allocator.
      * Kqueue: Fix registration failure when fd is reused.
      * Make JdkZlibEncoder accept Deflater.DEFAULT_COMPRESSION as level.
      * Ensure OpenSsl.availableJavaCipherSuites does not contain null values.
      * Always prefer direct buffers for pooled allocators if not explicit disabled.
      * Update to netty-tcnative 2.0.72.Final.
      * Re-enable sun.misc.Unsafe by default on Java 24+.
      * Kqueue: Delay removal from registration map to fix noisy warnings.

    - Fixes from version 4.1.121
      * Epoll.isAvailable() returns false on Ubuntu 20.04/22.04 arch amd64.
      * Fix transport-native-epoll Bundle-SymbolicNames.

    - Fixes from version 4.1.120
      * Fix flawed termination condition check in HttpPostRequestEncoder#encodeNextChunkUrlEncoded(int) for     current         InterfaceHttpData.
      * Exposed decoderEnforceMaxConsecutiveEmptyDataFrames and decoderEnforceMaxRstFramesPerWindow.
      * ThreadExecutorMap must restore old EventExecutor.
      * Make Recycler virtual thread friendly.
      * Disable sun.misc.Unsafe by default on Java 24+.
      * Adaptive: Correctly enforce leak detection when using AdaptiveByteBufAllocator.
      * Add suppressed exception to original cause when calling Future.sync*.
      * Add SETTINGS_ENABLE_CONNECT_PROTOCOL to the default HTTP/2 settings.
      * Correct computation for suboptimal chunk retirement probability.
      * Fix bug in method AdaptivePoolingAllocator.allocateWithoutLock(...).
      * Fix a Bytebuf leak in TcpDnsQueryDecoder.
      * SSL: Clear native error if named group is not supported.
      * WebSocketClientCompressionHandler shouldn't claim window bits support when jzlib is not available.
      * Fix the assignment error of maxQoS parameter in ConnAck Properties.

    - Fixes from version 4.1.119
      * Replace SSL assertion with explicit record length check.
      * Fix NPE when upgrade message fails to aggregate.
      * SslHandler: Fix possible NPE when executor is used for delegating.
      * Consistently add channel info in HTTP/2 logs.
      * Add QueryStringDecoder option to leave '+' alone.
      * Use initialized BouncyCastle providers when available.

    - Fix pom.xml errors that will be fatal with Maven 4

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty はメンテナンス可能な高性能プロトコルサーバーおよびクライアントの迅速な開発のための非同期イベント駆動型ネットワークアプリケーションフレームワークです。netty-codec-compression バージョン 4.1.124.Final およびそれ以前、および netty-codec バージョン 4.2.4.Final およびそれ以前では、特別に細工された入力が供給された場合、BrotliDecoder および特定のその他の展開デコーダーは、到達可能な大量のバイトバッファを割り当てます。これによりサービス拒否を引き起こす可能性があります。BrotliDecoder.decompress は、pull を呼び出す頻度に制限がありません。データを一度に 64K バイト展開します。バッファは出力リストに保存され、OOM がヒットするまで到達可能です。
    これは、netty-codec のバージョン 4.1.125.Final および netty-codec-compression のバージョン 4.2.5.Final で修正されました。
    (CVE-2025-58057)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 / openSUSE 15 ホストには、SUSE-SU-2025:03114-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Upstream バージョン にアップグレードしてください 4.1.126

    セキュリティの問題を修正:

    - CVE-2025-58057特別に細工された入力を処理した後に大量のバッファを割り当てるコーデックを展開すると、サービス拒否が引き起こされる可能性がありますbsc#1249134。
    - CVE-2025-58056チャンク拡張の不適切な解析により、リクエストのスマグリングが引き起こされる可能性がありますbsc#1249116。
    - CVE-2025-55163HTTP/2 プロトコルでの「MakeYourReset」サービス拒否攻撃bsc#1247991。

    修正されたその他の問題: 

    - バージョン からの修正 4.1.126
      * 無効なアップグレード応答の IllegalReferenceCountException を修正します。
      * 欠如しているストリーム上の未知のフレームをドロップします。
      * 不完全なアップグレードリクエストの処理を試行しません。
      * netty-tcnative 2.0.73Final に更新します。

    - バージョン からの修正 4.1.124
      * 多くのタスクがスケジュールおよびキャンセルされた場合の NPE および AssertionErrors を修正します。
      * HTTP2Http2ConnectionHandler は常に Http2ConnectionEncoder を使用する必要があります。
      * Epollソースポートが 0 の UDP パケットを適切に処理します。
      * netty-common OSGi Import-Packageヘッダーを修正。
      * MqttConnectPayload.toString() にはパスワードが含まれます。

    - バージョン からの修正 4.1.123
      * アダプティブアロケーターでのチャンク再利用のバグを修正します。
      * より正確な適応メモリ使用率の集計。
      * アロケーターにサイズクラスを導入します。
      * ジャーナリエーションの熱心さを低減させます。
      * AdaptiveByteBuf.getBytes での同時 ByteBuffer アクセスの問題を修正します。
      * 不適切な setCharSequence(...) の実装により引き起こされる可能性のあるバッファ破損を修正します。
      * AdaptiveByteBufwriterIndex() を考慮するために AdaptiveByteBuf.maxFastWritableBytes() を修正。
      * アダプティブ ByteBufs の容量バンピングを最適化します。
      * AbstractDnsRecord名前フィールドの大文字と小文字を無視するために、 equals() および hashCode() が使用されます。
      * 安全でないガードをバックポートします。
      * hasUnsafe で再計算されたオフセットアクセスをガードします。
      * HTTP2ストリーム例外で常に RST フレームを生成します。
      * netty-bom に含まれるアーチファクトの修正。

    - バージョン からの修正 4.1.122
      * DirContextUtils.addNameServer(...) は、内部で例外をキャッチするだけで済みます。
      * パブリック API に OOM を防ぐために明示的な maxAllocation を指定させます。
      * アダプティブアロケーターでの同時 ByteBuf 書き込みアクセスのバグを修正します。
      * transport-native-kqueue Bundle-SymbolicNames を修正します。
      * resolver-dns-native-macos Bundle-SymbolicNames を修正します。
      * sun.misc.Unsafe が使用できない場合でも、ByteBuf のメモリアドレスを常に正しく計算します。
      * lz4 依存関係を古いバージョンとしてアップグレードすると、arrayOffset > 0 の ByteBuffer が正しく処理されませんでした。
      * アロケーターに ByteBuf.setCharSequence を最適化します。
      * Kqueuefd が再利用された場合の登録失敗を修正します。
      * JdkZlibEncoder が、Deflater.DEFAULT_COMPRESSION をレベルとして受け入れるようにします。
      * OpenSsl.availableJavaCipherSuitesにnull値が含まれていないことを確認してください。
      * 明示的に無効化されていない場合、プールされたアロケーターに対して常にダイレクトバッファを優先します。
      * netty-tcnative 2.0.72.Final に更新してください。
      * Java 24+ で sun.misc.Unsafe をデフォルトで再有効化します。
      * Kqueueノイズのある警告を修正するために登録マップからの削除を遅らせます。

    - バージョン からの修正 4.1.121
      * Epoll.isAvailable() は、Ubuntu 20.04/22.04 arch amd64 で false を返します。
      * transport-native-epoll Bundle-SymbolicNames を修正します。

    - バージョン からの修正 4.1.120
      * 現在の InterfaceHttpData 用の HttpPostRequestEncoder#encodeNextChunkUrlEncoded(int) にある欠陥のある終了条件チェックを修正します。
      * decoderEnforceMaxConsecutiveEmptyDataFrames および decoderEnforceMaxRstFramesPerWindow を漏洩しました。
      * ThreadExecutorMap は古い EventExecutor を復元しなければなりません。
      * Recoveryr 仮想スレッドを利用しやすいものにします。
      * Java 24+ では、sun.misc.Unsafe をデフォルトで無効にします。
      * AdaptiveAdaptiveByteBufAllocator を使用する際に、漏洩検出を正しく実施します。
      * Future.sync* を呼び出すとき、抑制された例外を元の原因に追加します。
      * SETTINGS_ENABLE_CONNECT_PROTOCOL をデフォルトの HTTP/2 設定に追加します。
      * 次の最適なチャンク終了確率に対する計算を修正します。
      * メソッド AdaptivePoolingAllocator.allocateWithoutLock(...) のバグを修正。
      * TcpDnsQueryDecoder の Bytebuf 漏洩を修正します。
      * SSLnamed グループがサポートされていない場合、ネイティブエラーを消去します。
      * WebSocketClientCompressionHandler は jzlib が利用できない時、ウインドウビットサポートを要求しません。
      * ConnAck Properties の maxQoS パラメーターの割り当てエラーを修正します。

    - バージョン からの修正 4.1.119
      * SSL アサーションを明示的なレコード長チェックで置換します。
      * アップグレードメッセージを集約することに失敗した場合の NPE を修正。
      * SslHandlerexector が委任に使用される場合に発生する可能性のある NPE を修正します。
      * HTTP/2 ログにチャネル情報を常に追加します。
      * 「+」を放置するために QueryStringDecoder オプションを追加します。
      * 利用可能な場合は、初期化された BouncyCastle プロバイダーを使用します。

    - Maven 4 で致命的となる pom.xml エラーを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
261547	Linux Distros 未修補的弱點：CVE-2025-58057	Nessus	Misc.	9/6/2025	9/14/2025	medium
261547	Linux Distros 未修补的漏洞：CVE-2025-58057	Nessus	Misc.	9/6/2025	9/14/2025	medium
261547	Linux Distros Unpatched Vulnerability : CVE-2025-58057	Nessus	Misc.	9/6/2025	9/14/2025	medium
264436	SUSE SLED15 / SLES15 / openSUSE 15 Security Update : netty, netty-tcnative (SUSE-SU-2025:03114-1)	Nessus	SuSE Local Security Checks	9/10/2025	9/10/2025	high
261547	Linux Distros のパッチ未適用の脆弱性: CVE-2025-58057	Nessus	Misc.	9/6/2025	9/14/2025	medium
264436	SUSE SLED15 / SLES15 / openSUSE 15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2025:03114-1)	Nessus	SuSE Local Security Checks	9/10/2025	9/10/2025	high

Detections

Analytics

Plugins Search

medium

medium

medium

high

medium

high