There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and
    4.1.133.Final, the MQTT 5 header Properties section is parsed and buffered before any message size limit
    is applied. Specifically, in MqttDecoder, the decodeVariableHeader() method is called before the
    bytesRemainingBeforeVariableHeader > maxBytesInMessage check. The decodeVariableHeader() can call other
    methods which will call decodeProperties(). Effectively, Netty does not apply any limits to the size of
    the properties being decoded. Additionally, because MqttDecoder extends ReplayingDecoder, Netty will
    repeatedly re-parse the enormous Properties sections and buffer the bytes in memory, until the entire
    thing parses to completion. This can cause high resource usage in both CPU and memory. This vulnerability
    is fixed in 4.2.13.Final and 4.1.133.Final. (CVE-2026-44248)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 是一个事件驱动的异步网络应用程序框架。在低于 4.2.13.Final 和 4.1.133.Final 的版本中，MQTT 5 标头属性部分会在应用任何消息大小限制之前进行解析和缓冲。具体而言，在 MqttDecoder 中，decodeVariableHeader（） 方法在 bytesRemainingBeforeVariableHeader > maxBytesInMessage 检查之前调用。decodeVariableHeader（） 可以调用其他方法来调用 decodeProperties（）。实际上，Netty 不会对要解码的属性大小应用任何限制。此外，由于 MqttDecoder 扩展了 ReplayingDecoder，因此 Netty 将反复重新解析大量的属性部分，并在内存中缓冲字节，直到整个事物解析完成。这会造成 CPU 和内存的高资源使用率。此漏洞已在 4.2.13.Final 和 4.1.133.Final 中修复。（CVE-2026-44248）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - Netty 是一個非同步、事件驅動的網路應用程式框架。在 4.2.13.Final 和 4.1.133.Final 之前，在套用任何訊息大小限制之前，會剖析並緩衝 MQTT 5 標頭屬性區段。具體而言，在 MqttDecoder 中，在 bytesRemainingBeforeVariableHeader > maxBytesInMessage 檢查之前呼叫 decodeVariableHeader（） 方法。decodeVariableHeader（） 可以呼叫其他方法，這些方法將呼叫 decodeProperties（）。實際上，Netty 不會對要解碼的屬性大小套用任何限制。此外，由於 MqttDecoder 擴展了 ReplayingDecoder，Netty 將重複重新解析龐大的屬性部分並將位元組緩衝在記憶體中，直到整個事物解析完成。這可能會導致 CPU 和記憶體中的資源使用率過高。此弱點已在 4.2.13.Final 和 4.1.133.Final 中修正。（CVE-2026-44248）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです。4.2.13.Finalおよび4.1.133.Finalより前は、MQTT 5ヘッダーのプロパティセクションは、メッセージサイズ制限が適用される前に解析およびバッファされます。具体的には、MqttDecoder では、decodeVariableHeader() メソッドが bytesRemainingBeforeVariableHeader > maxBytesInMessage チェックの前に呼び出されます。decodeVariableHeader() は、decodeProperties() を呼び出す他のメソッドを呼び出すことができます。事実上、Netty はデコードされるプロパティのサイズに制限を適用しません。さらに、MqttDecoder は ReplayingDecoder を拡張するため、Netty は膨大なプロパティセクションを繰り返し再解析し、全体が解析が完了するまでメモリ内のバイトをバッファリングします。これにより、CPU とメモリの両方で高いリソース使用率が発生する可能性があります。この脆弱性は 4.2.13.Final および 4.1.133.Final で修正されています。(CVE-2026-44248)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2308-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    netty、netty-tcnative 用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-41417: 検証の欠如により、DefaultHttpRequest.setUri() におけるスタートライン挿入を介した HTTP リクエストスマグリングおよび RTSP リクエストインジェクションが発生する (bsc#1264350)。
    - CVE-2026-42578: HttpProxyHandler 経由の HTTP ヘッダー注入により、netty での検証が無効になる (bsc#1265243)。
    - CVE-2026-42579: DNS コーデックが、エンコーディング中またはデコーディング中にも RFC 1035 ドメイン名の制約を強制しない (bsc#1265272)。
    - CVE-2026-42580: チャンクサイズパーサーが int の整数オーバーフローをサイレントに発生させ、リクエストスマグリング攻撃を可能にする (bsc#1265273)。
    - CVE-2026-42581: HTTP/1.0 リクエストでの TE+CL ヘッダーの共存により、スマグリングサニタイズがバイパスされる (bsc#1265277)。
    - CVE-2026-42583:「Lz4FrameDecoder」を介したリソース枯渇とサービス拒否の可能性 (bsc#1265279)。
    - CVE-2026-42584:「HttpClientCodec」での受信応答の不適切な処理が、応答の非同期化を引き起こす可能性 (bsc#1265280)。
    - CVE-2026-42585: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265292)。
    - CVE-2026-42586:Netty Redis コーデックエンコーダーにおける CRLF インジェクション (bsc#1265245)。
    - CVE-2026-42587: Content-Encoding: br/zstd/snappy を介した HttpContentDecompressor の maxAllocation バイパスにより、解凍爆弾による DoS が可能になる (bsc#1265246)。
    - CVE-2026-44248: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265294)。
    - CVE-2026-42582: HTTP/3 QPACK リテラル無制限割り当て (bsc#1265318)。

    netty の変更: 

    - アップストリームバージョン 4.1.133 にアップグレード

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and     4.1.133.Final, the MQTT 5 header Properties section is parsed and buffered before any message size limit     is applied. Specifically, in MqttDecoder, the decodeVariableHeader() method is called before the     bytesRemainingBeforeVariableHeader > maxBytesInMessage check. The decodeVariableHeader() can call other     methods which will call decodeProperties(). Effectively, Netty does not apply any limits to the size of     the properties being decoded. Additionally, because MqttDecoder extends ReplayingDecoder, Netty will     repeatedly re-parse the enormous Properties sections and buffer the bytes in memory, until the entire     thing parses to completion. This can cause high resource usage in both CPU and memory. This vulnerability     is fixed in 4.2.13.Final and 4.1.133.Final. (CVE-2026-44248)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2308-1 advisory.

    This update for netty, netty-tcnative fixes the following issues

    - CVE-2026-41417: missing validations leads to HTTP request smuggling and RTSP request injection via     start-line       injection in `DefaultHttpRequest.setUri()` (bsc#1264350).
    - CVE-2026-42578: HTTP Header Injection via HttpProxyHandler Disabled Validation in Netty (bsc#1265243).
    - CVE-2026-42579: DNS codec does not enforce RFC 1035 domain name constraints during either encoding or     decoding       (bsc#1265272).
    - CVE-2026-42580: chunk size parser silently overflows int and enables request smuggling attacks     (bsc#1265273).
    - CVE-2026-42581: TE+CL header coexistence in HTTP/1.0 requests bypasses smuggling sanitization     (bsc#1265277).
    - CVE-2026-42583: resource exhaustion and possible denial of service via `Lz4FrameDecoder` (bsc#1265279).
    - CVE-2026-42584: improper handling of inbound responses in `HttpClientCodec` can lead to response     desynchronization       (bsc#1265280).
    - CVE-2026-42585: Netty is an asynchronous, event-driven network application framework (bsc#1265292).
    - CVE-2026-42586: CRLF Injection in Netty Redis Codec Encoder (bsc#1265245).
    - CVE-2026-42587: HttpContentDecompressor maxAllocation bypass via Content-Encoding: br/zstd/snappy     enables       decompression bomb DoS (bsc#1265246).
    - CVE-2026-44248: Netty is an asynchronous, event-driven network application framework (bsc#1265294).
    - CVE-2026-42582: HTTP/3 QPACK literal unbounded allocation (bsc#1265318).

    Changes for netty:

    - Upgrade to upstream version 4.1.133

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
441434	SCA: security update for io.netty:netty-codec-mqtt (GHSA-jfg9-48mv-9qgx)	Tenable Cloud Security	SCA Checks	5/7/2026	7/2/2026	high
441434	SCA: security update for io.netty:netty-codec-mqtt (GHSA-jfg9-48mv-9qgx)	Tenable Self-Hosted Container Security	SCA Checks	5/7/2026	7/2/2026	high
314742	Linux Distros 未修补的漏洞：CVE-2026-44248	Nessus	Misc.	5/14/2026	9/2/2026	high
314742	Linux Distros 未修補弱點：CVE-2026-44248	Nessus	Misc.	5/14/2026	9/2/2026	high
314742	Linux Distros のパッチ未適用の脆弱性: CVE-2026-44248	Nessus	Misc.	5/14/2026	9/2/2026	high
321020	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	6/14/2026	6/14/2026	medium
314742	Linux Distros Unpatched Vulnerability : CVE-2026-44248	Nessus	Misc.	5/14/2026	9/2/2026	high
321020	SUSE SLED15 / SLES15 Security Update : netty, netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	6/14/2026	6/14/2026	medium

Detections

Analytics

Plugins Search

high

high

high

high

high

medium

high

medium