There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Netty is a network application framework for development of protocol servers and clients. In netty-codec-
    http2 prior to versions 4.1.135.Final and 4.2.15.Final, the `DelegatingDecompressorFrameListener` class
    orchestrates HTTP/2 decompression by embedding a per-stream `EmbeddedChannel` that runs the appropriate
    decompression codec (gzip, deflate, zstd) and forwards decompressed chunks to a wrapped listener. Each
    decompressed chunk is a pooled `ByteBuf` handed to an anonymous `ChannelInboundHandlerAdapter` tail
    handler, which becomes the sole owner responsible for releasing it. A remote peer could send frames that
    would result in the flow-controller throwing and so trigger a resource leak which at the end might take
    down the whole JVM due OOME. Versions 4.1.135.Final and 4.2.15.Final patch the issue. (CVE-2026-48043)

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 是用于开发协议服务器和客户端的网络应用程序框架。在低于版本 4.1.135.Final 和 4.2.15.Final 的 netty-codec-http2 中，“DelegatingDecompressorFrameListener”类通过嵌入每个流的“EmbeddedChannel”来协调 HTTP/2 解压缩，该“EmbeddedChannel”运行适当的解压缩编解码器（gzip、deflate、zstd）并将解压缩的区块转发到封装的监听器。每个解压缩的区块都是一个池的“ByteBuf”，传递给匿名的“ChannelInboundHandlerAdapter”尾处理程序，后者将成为负责发布该区块的唯一所有者。远程对等可发送会导致流控制器抛出的帧，从而触发资源泄漏，最后可能由于 OOME 导致整个 JVM 停止。版本 4.1.135.Final 和 4.2.15.Final 修补了此问题。（CVE-2026-48043）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Netty 是用於開發通訊協定伺服器和用戶端的網路應用程式架構。在 4.1.135.Final 和 4.2.15.Final 之前的 netty-codec-http2 中，「DelegatingDecompressorFrameListener」類別會透過內嵌每個資料流的「EmbeddedChannel」來協調 HTTP/2 解壓縮，該「EmbeddedChannel」會執行適當的解壓縮編解碼器 （gzip、deflate、zstd） 並將解壓縮的區塊轉送至包裝的接聽程式。每個解壓縮的區塊都是一個集區的「ByteBuf」，傳遞給匿名的「ChannelInboundHandlerAdapter」尾部處理常式，該處理常式會成為負責釋放它的唯一擁有者。遠端對等體可能會傳送會導致流量控制器擲出的框架，從而觸發資源洩漏，最後可能會因 OOME 而導致整個 JVM 關閉。4.1.135.Final 版和 4.2.15.Final 版修補了此問題。（CVE-2026-48043）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2802-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    netty、netty-tcnative 用のこの更新は、次の問題を修正します

    netty、netty-tcnative 用のこの更新プログラムでは、以下の問題が修正されています

    netty を Upstream バージョン 4.1.135 に、netty-tcnative を Upstream バージョン 2.0.79 にアップグレードしてください:

    - CVE-2026-44249:不適切なコンパレータマスキングによる IPv6 サブネットフィルターのバイパス(bsc#1268165)。
    - CVE-2026-44250:深くネスト化された配列による RedisArrayAggregator でのメモリ枯渇(bsc#1268169)。
    - CVE-2026-44890:RedisDecoder における際限のない直接メモリ消費(bsc#1268170)。
    - CVE-2026-44893:netty-codec-haproxy:無効な形式の HAProxy メッセージによるサービス拒否(bsc#1268244)。
    - CVE-2026-45416:SNI ハンドラーは、9 個の攻撃者バイトから最大 16 MiB を事前に割り当てます(bsc#1268246)。
    - CVE-2026-45536:ピアが 2 つ同時に 2 つを送信すると、Unix ソケット fd は記述子を漏洩します(bsc#1268247)。
    - CVE-2026-45673:netty-resolver-dns:予測可能なトランザクション ID によるキャッシュポイズニングをDNSします(bsc#1268248)。
    - CVE-2026-45674:CNAME レコードでの bailiwick チェックの欠落によるキャッシュポイズニングをDNSします(bsc#1268249)。
    - CVE-2026-46340:netty-transport-sctp:SctpMessage フラグメントからの無制限のメモリ増加によるサービス拒否(bsc#1268250)。
    - CVE-2026-47244:HTTP/2:アドバタイズされたMAX_CONCURRENT_STREAMSが強制されていません(bsc#1268251)。
    - CVE-2026-47691:NS レコードの不十分な bailiwick 検証(bsc#1268252)。
    - CVE-2026-48006:netty-codec-redis:Nettyのライフサイクルクリーンアップの欠如により、プールされたRedisArrayAggregatorでのByteBufリークが発生します(bsc#1268255)。
    - CVE-2026-48043:netty-codec-http2:リソース漏洩によるサービス拒否(bsc#1268257)。
    - CVE-2026-48059:netty-codec-haproxy:細工された PROXY プロトコルヘッダーからのメモリリークによるサービス拒否(bsc#1268258)。
    - CVE-2026-50010:プレーントラストマネージャーをラッピングすることで、ホスト名の検証がサイレントに無効になります(bsc#1268259)。
    - CVE-2026-50011:RESP 配列の長さからの RedisArrayAggregator における無制限の事前割り当て(bsc#1268260)。
    - CVE-2026-50020:CRLF 文字のみが許可される場合、HttpObjectDecoder は任意の初期制御文字をスキップします(bsc#1268261)。
    - CVE-2026-50560:netty は、異なる on-the-wire 署名(bsc#1268262)による HTTP/2 リセット攻撃の影響を受けやすいです。

    変更：

     - MQTT:パスワードのみで MQTT 5 CONNECT を許可します + ChannelInitializer:例外キャッチされたルートの誤解を招くコメントを修正します + HTTP/2:Vert.x のようにリクエストターゲットパスを解析します(4.1 バックポート) + 最初の CRLF 文字のみが許可されている場合、HttpObjectDecoder は任意の初期制御文字をスキップします + IpSubnetFilter:ipv6 を正しく処理します + RedisArrayAggregator で設定可能な境界 + Redis:デコードされる長さを制限します + DNS:クエリ ID が予測不可能であることを確認します + プレーントラストマネージャーをサイレントにラッピングしますホスト名の検証を無効化します + MQTT: 残り長さがゼロでない無効な形式のペイロードなしパケットを拒否します + HAProxy:無効な形式の TLV で HAProxyMessages を拒否し、メモリを漏洩させません + SSL:クライアント hello の長さとタイムアウトの制限として、同じデフォルトを使用します + DNS:クエリされたドメインの一部である場合は、CNAME のみをキャッシュします + HTTP/2:誤動作するクライアントに最大同時ストリームを強制します + dns:NS レコードの不十分な bailiwick 検証 + HTTP2: DelegatingDecompressorFrameListener は全ての場合においてメモリを解放する必要があります + maxAllocation を Brotli および Zstd デコーダーに渡します + HTTP/2:クライアントMAX_HEADER_LIST_SIZEをアドバイザリとして扱います + maxWindowLog パラメーターを ZstdDecoder に追加して、メモリ割り当てをバインドします + HAProxy:ネスト化された SSL TLV を解析する際の ByteBuf 漏洩を修正します + Epoll / kqueue:FD の受信を正しく処理します + SCTP:インフライトの不完全な SCTP メッセージの数とフラグメントの数を制限します + Redis: RedisArrayAggregator 使用時に削除時に不完全なメッセージを適切にリリース + Redis:ネスト化配列の最大数を制限 + HTTP:誤って削除されたコンストラクターを HttpProxyHandler に再追加 + マーシャリング:明示的なドキュメントセキュリティ要件 + HTTP/RTSP バージョンの固定 + Locale.US へのメソッド正規化 + 適応:アダプティブアロケーターの同時実行性問題を修正 + マルチパートの Content-Type / Content-Transfer-Encoding ケースを Locale.US に折りたたむ + 無効なネイティブ宣言を削除 +キャッシュされていないプロバイダーによる openssl キーマテリアルの再解析を回避します + IpFilter:ipv6 ルールのみが設定され、リモートピアが ipv4 を使用している場合に、IpSubnetFilter によって引き起こされる ClassCastException を修正します + DNS サーバーをクエリせずに、すべてのローカルホストアドレスを解決します + HTTP2:デフォルトの最大同時ストリーム設定として 100 を使用します + fireExceptionCaught を介して同期 onLookupComplete 例外をルートします + 変数ヘッダーリプレイ後の MQTT デコーダーサイズチェックを修正します

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty は、プロトコルサーバーおよびクライアントを開発するためのネットワークアプリケーションフレームワークです。バージョン4.1.135.Finalおよび4.2.15.Finalより前のnetty-codec-http2では、「DelegatingDecompressorFrameListener」クラスが、適切な展開コーデック(gzip、deflate、zstd)を実行し、展開されたチャンクをラップされたリスナーに転送するストリームごとの「EmbeddedChannel」を埋め込むことによって、HTTP/2展開を調整します。展開された各チャンクはプールされた「ByteBuf」であり、匿名の「ChannelInboundHandlerAdapter」テールハンドラーに渡されます。このハンドラーは、その解放を担当する唯一の所有者になります。リモートピアがフレームを送信することで、フローコントローラーのスローを発生させる可能性があります。これにより、リソース漏洩が引き起こされ、最終的に OOME により JVM 全体がダウンする可能性があります。バージョン 4.1.135.Final および 4.2.15.Final は、この問題にパッチを適用します。(CVE-2026-48043)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Netty is a network application framework for development of protocol servers and clients. In netty-codec-     http2 prior to versions 4.1.135.Final and 4.2.15.Final, the `DelegatingDecompressorFrameListener` class     orchestrates HTTP/2 decompression by embedding a per-stream `EmbeddedChannel` that runs the appropriate     decompression codec (gzip, deflate, zstd) and forwards decompressed chunks to a wrapped listener. Each     decompressed chunk is a pooled `ByteBuf` handed to an anonymous `ChannelInboundHandlerAdapter` tail     handler, which becomes the sole owner responsible for releasing it. A remote peer could send frames that     would result in the flow-controller throwing and so trigger a resource leak which at the end might take     down the whole JVM due OOME. Versions 4.1.135.Final and 4.2.15.Final patch the issue. (CVE-2026-48043)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2802-1 advisory.

    This update for netty, netty-tcnative fixes the following issue

    This update for netty, netty-tcnative fixes the following issues

    Upgrade netty to upstream version 4.1.135, netty-tcnative to upstream version 2.0.79:

    - CVE-2026-44249: IPv6 Subnet Filter Bypass via Incorrect Comparator Masking (bsc#1268165).
    - CVE-2026-44250: Memory Exhaustion in RedisArrayAggregator due to Deeply Nested Arrays (bsc#1268169).
    - CVE-2026-44890: Unbounded Direct Memory Consumption in RedisDecoder (bsc#1268170).
    - CVE-2026-44893: netty-codec-haproxy: Denial of Service via malformed HAProxy message (bsc#1268244).
    - CVE-2026-45416: SNI handler pre-allocates up to 16 MiB from nine attacker bytes (bsc#1268246).
    - CVE-2026-45536: Unix-socket fd receive leaks descriptors when peer sends two at once (bsc#1268247).
    - CVE-2026-45673: netty-resolver-dns: DNS Cache Poisoning via predictable transaction IDs (bsc#1268248).
    - CVE-2026-45674: DNS Cache Poisoning via Missing Bailiwick Checks in CNAME Records (bsc#1268249).
    - CVE-2026-46340: netty-transport-sctp: Denial of Service due to unbounded memory growth from SctpMessage     fragments       (bsc#1268250).
    - CVE-2026-47244: HTTP/2: Advertised MAX_CONCURRENT_STREAMS not enforced (bsc#1268251).
    - CVE-2026-47691: Insufficient Bailiwick Validation for NS Records (bsc#1268252).
    - CVE-2026-48006: netty-codec-redis: Netty's Lack of Lifecycle Cleanup Leads to Pooled ByteBuf Leak in       RedisArrayAggregator (bsc#1268255).
    - CVE-2026-48043: netty-codec-http2: Denial of Service due to resource leak (bsc#1268257).
    - CVE-2026-48059: netty-codec-haproxy: Denial of Service via memory leak from crafted PROXY protocol     headers       (bsc#1268258).
    - CVE-2026-50010: Wrapping plain trust manager silently disables hostname verification (bsc#1268259).
    - CVE-2026-50011: Unbounded pre-allocation in RedisArrayAggregator from RESP array length (bsc#1268260).
    - CVE-2026-50020: HttpObjectDecoder skips arbitrary initial control characters when only initial CRLF     characters are       permitted (bsc#1268261).
    - CVE-2026-50560: Netty susceptible to HTTP/2 Reset Attack with different on-the-wire signature     (bsc#1268262).

    Changes:

     - MQTT: Allow MQTT 5 CONNECT with password only      + ChannelInitializer: correct misleading comment on      exceptionCaught route      + HTTP/2: Parse request-target path like Vert.x (4.1 backport)      + HttpObjectDecoder skips arbitrary initial control characters      when only initial CRLF characters are permitted      + IpSubnetFilter: Correctly handle ipv6      + Configurable bound on RedisArrayAggregator      + Redis: Limit decoded length      + DNS: Ensure query id is not predictible      + Wrapping plain trust manager silently disables hostname      verification      + MQTT: Reject malformed no-payload packets with non-zero      Remaining Length      + HAProxy: Reject HAProxyMessages with malformated TLV and not      leak memory      + SSL: Use sane defaults as limits for the client hello length      and timeout      + DNS: Only cache CNAME if part of the queried domain      + HTTP/2: Enforce max concurrent streams for misbehaving clients      + Dns: Insufficient Bailiwick Validation for NS Records      + HTTP2: DelegatingDecompressorFrameListener must release memory      in all cases      + Pass maxAllocation to Brotli and Zstd decoders      + HTTP/2: Treat clients MAX_HEADER_LIST_SIZE as advisory      + Add maxWindowLog parameter to ZstdDecoder to bound memory      allocation      + HAProxy: Fix ByteBuf leak when parsing nested SSL TLVs      + Epoll / Kqueue: Correctly handle receive of FD      + SCTP: Limit the number of inflight incomplete SCTP messages      and the number of fragments      + Redis: Correctly release incomplete message on removal when      using RedisArrayAggregator      + Redis: Limit the maximum number of nested arrays      + HTTP: Re-add constructor to HttpProxyHandler that was removed      by mistake      + Marshalling: Explicit document security requirements      + Pin HTTP/RTSP version + method normalization to Locale.US      + Adaptive: Fix concurrency issue in adaptive allocator      + Pin multipart Content-Type / Content-Transfer-Encoding case      folding to Locale.US      + Remove dead native declarations      + Avoid re-parsing openssl key material with non-cached provider      + IpFilter: Fix ClassCastException caused by IpSubnetFilter if      only ipv6 rules are configured but remote peer is using ipv4      + Resolve all localhost addresses without querying DNS servers      + HTTP2: Use 100 as default max concurrent streams setting      + Route synchronous onLookupComplete exceptions via      fireExceptionCaught      + Fix MQTT decoder size check after variable header replay

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
443079	SCA: security update for io.netty:netty-codec-http2 (GHSA-c2gf-v879-257j)	Tenable Cloud Security	SCA Checks	2026/6/11	2026/7/30	high
443079	SCA: security update for io.netty:netty-codec-http2 (GHSA-c2gf-v879-257j)	Tenable Self-Hosted Container Security	SCA Checks	2026/6/11	2026/7/30	high
320927	Linux Distros 未修补的漏洞：CVE-2026-48043	Nessus	Misc.	2026/6/12	2026/7/20	high
320927	Linux Distros 未修補弱點：CVE-2026-48043	Nessus	Misc.	2026/6/12	2026/7/20	high
326003	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:2802-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	high
320927	Linux Distros のパッチ未適用の脆弱性: CVE-2026-48043	Nessus	Misc.	2026/6/12	2026/7/20	high
320927	Linux Distros Unpatched Vulnerability : CVE-2026-48043	Nessus	Misc.	2026/6/12	2026/7/20	high
326003	SUSE SLED15 / SLES15 Security Update : netty, netty-tcnative (SUSE-SU-2026:2802-1)	Nessus	SuSE Local Security Checks	2026/7/9	2026/7/9	high

检测

插件搜索

high

high

high

high

high

high

high

high