There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - Netty allows request-line validation to be bypassed when a `DefaultHttpRequest` or
    `DefaultFullHttpRequest` is created first and its URI is later changed via `setUri()`. The constructors
    reject CRLF and whitespace characters that would break the start-line, but `setUri()` does not apply the
    same validation. `HttpRequestEncoder` and `RtspEncoder` then write the URI into the request line verbatim.
    If attacker-controlled input reaches `setUri()`, this enables CRLF injection and insertion of additional
    HTTP or RTSP requests, leading to HTTP request smuggling or desynchronization on the HTTP side and request
    injection on the RTSP side. This issue is fixed in versions 4.2.13.Final and 4.1.133.Final.
    (CVE-2026-41417)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Netty 允許在先建立 'DefaultHttpRequest' 或 'DefaultFullHttpRequest' 然後透過 'setUri（）' 變更其 URI 時，繞過要求行驗證。建構函式會拒絕會中斷起始行的 CRLF 和空格字元，但 'setUri（）' 不會套用相同的驗證。然後，「HttpRequestEncoder」和「RtspEncoder」會逐字將 URI 寫入要求行。
    如果攻擊者控制的輸入達到「setUri（）」，則可進行 CRLF 插入和插入額外的 HTTP 或 RTSP 要求，進而導致 HTTP 端的 HTTP 要求走私或不同步，並在 RTSP 端造成要求插入。此問題已在 4.2.13.Final 和 4.1.133.Final 版中修正。
    (CVE-2026-41417)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Netty 允许在首先创建“DefaultHttpRequest”或“DefaultFullHttpRequest”，然后通过“setUri（）”更改其 URI 时绕过请求行验证。构造函数拒绝会中断起始行的 CRLF 和空格字符，但“setUri（）”未应用相同的验证。然后，“HttpRequestEncoder”和“RtspEncoder”将 URI 逐字写入请求行。
    如果攻击者控制的输入到达“setUri（）”，这将启用 CRLF 注入和插入其他 HTTP 或 RTSP 请求，从而导致 HTTP 端的 HTTP 请求走私或去同步化，以及 RTSP 端的请求注入。版本 4.2.13.Final 和 4.1.133.Final 中已修复此问题。
    (CVE-2026-41417)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty は、「DefaultHttpRequest」または「DefaultFullHttpRequest」が最初に作成され、その後その URI が「setUri()」で変更されたときに、リクエスト行の検証がバイパスされる可能性があります。コンストラクターは、開始行を壊す CRLF 文字および空白文字を拒否しますが、「setUri()」は同じ検証を適用しません。その後、「HttpRequestEncoder」および「RtspEncoder」は、その URI をリクエスト行に逐語的に書き込みます。
    攻撃者がコントロールする入力が「setUri()」に到達すると、CRLF インジェクションおよび追加 HTTP または RTSP リクエストの挿入が可能になり、HTTP サイドでの HTTP リクエストのスマグリングまたは同期解除、RTSP サイドでのリクエストインジェクションにつながります。この問題は、バージョン 4.2.13.Final および 4.1.133.Final で修正されています。
    (CVE-2026-41417)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 ホストには、SUSE-SU-2026:2308-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    netty、netty-tcnative 用のこの更新プログラムでは、以下の問題が修正されています

    - CVE-2026-41417: 検証の欠如により、DefaultHttpRequest.setUri() におけるスタートライン挿入を介した HTTP リクエストスマグリングおよび RTSP リクエストインジェクションが発生する (bsc#1264350)。
    - CVE-2026-42578: HttpProxyHandler 経由の HTTP ヘッダー注入により、netty での検証が無効になる (bsc#1265243)。
    - CVE-2026-42579: DNS コーデックが、エンコーディング中またはデコーディング中にも RFC 1035 ドメイン名の制約を強制しない (bsc#1265272)。
    - CVE-2026-42580: チャンクサイズパーサーが int の整数オーバーフローをサイレントに発生させ、リクエストスマグリング攻撃を可能にする (bsc#1265273)。
    - CVE-2026-42581: HTTP/1.0 リクエストでの TE+CL ヘッダーの共存により、スマグリングサニタイズがバイパスされる (bsc#1265277)。
    - CVE-2026-42583:「Lz4FrameDecoder」を介したリソース枯渇とサービス拒否の可能性 (bsc#1265279)。
    - CVE-2026-42584:「HttpClientCodec」での受信応答の不適切な処理が、応答の非同期化を引き起こす可能性 (bsc#1265280)。
    - CVE-2026-42585: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265292)。
    - CVE-2026-42586:Netty Redis コーデックエンコーダーにおける CRLF インジェクション (bsc#1265245)。
    - CVE-2026-42587: Content-Encoding: br/zstd/snappy を介した HttpContentDecompressor の maxAllocation バイパスにより、解凍爆弾による DoS が可能になる (bsc#1265246)。
    - CVE-2026-44248: Netty は非同期のイベント駆動型ネットワークアプリケーションフレームワークです (bsc#1265294)。
    - CVE-2026-42582: HTTP/3 QPACK リテラル無制限割り当て (bsc#1265318)。

    netty の変更: 

    - アップストリームバージョン 4.1.133 にアップグレード

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The remote SUSE Linux SLED15 / SLED_SAP15 / SLES15 / SLES_SAP15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2026:2308-1 advisory.

    This update for netty, netty-tcnative fixes the following issues

    - CVE-2026-41417: missing validations leads to HTTP request smuggling and RTSP request injection via     start-line       injection in `DefaultHttpRequest.setUri()` (bsc#1264350).
    - CVE-2026-42578: HTTP Header Injection via HttpProxyHandler Disabled Validation in Netty (bsc#1265243).
    - CVE-2026-42579: DNS codec does not enforce RFC 1035 domain name constraints during either encoding or     decoding       (bsc#1265272).
    - CVE-2026-42580: chunk size parser silently overflows int and enables request smuggling attacks     (bsc#1265273).
    - CVE-2026-42581: TE+CL header coexistence in HTTP/1.0 requests bypasses smuggling sanitization     (bsc#1265277).
    - CVE-2026-42583: resource exhaustion and possible denial of service via `Lz4FrameDecoder` (bsc#1265279).
    - CVE-2026-42584: improper handling of inbound responses in `HttpClientCodec` can lead to response     desynchronization       (bsc#1265280).
    - CVE-2026-42585: Netty is an asynchronous, event-driven network application framework (bsc#1265292).
    - CVE-2026-42586: CRLF Injection in Netty Redis Codec Encoder (bsc#1265245).
    - CVE-2026-42587: HttpContentDecompressor maxAllocation bypass via Content-Encoding: br/zstd/snappy     enables       decompression bomb DoS (bsc#1265246).
    - CVE-2026-44248: Netty is an asynchronous, event-driven network application framework (bsc#1265294).
    - CVE-2026-42582: HTTP/3 QPACK literal unbounded allocation (bsc#1265318).

    Changes for netty:

    - Upgrade to upstream version 4.1.133

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Netty allows request-line validation to be bypassed when a `DefaultHttpRequest` or     `DefaultFullHttpRequest` is created first and its URI is later changed via `setUri()`. The constructors     reject CRLF and whitespace characters that would break the start-line, but `setUri()` does not apply the     same validation. `HttpRequestEncoder` and `RtspEncoder` then write the URI into the request line verbatim.
    If attacker-controlled input reaches `setUri()`, this enables CRLF injection and insertion of additional     HTTP or RTSP requests, leading to HTTP request smuggling or desynchronization on the HTTP side and request     injection on the RTSP side. This issue is fixed in versions 4.2.13.Final and 4.1.133.Final.
    (CVE-2026-41417)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
441253	SCA: security update for io.netty:netty-codec-http (GHSA-v8h7-rr48-vmmv)	Tenable Cloud Security	SCA Checks	2026/5/6	2026/7/2	medium
441253	SCA: security update for io.netty:netty-codec-http (GHSA-v8h7-rr48-vmmv)	Tenable Self-Hosted Container Security	SCA Checks	2026/5/6	2026/7/2	medium
313062	Linux Distros 未修補的弱點：CVE-2026-41417	Nessus	Misc.	2026/5/7	2026/5/29	medium
313062	Linux Distros 未修补的漏洞：CVE-2026-41417	Nessus	Misc.	2026/5/7	2026/5/29	medium
313062	Linux Distros のパッチ未適用の脆弱性: CVE-2026-41417	Nessus	Misc.	2026/5/7	2026/5/29	medium
321020	SUSE SLED15 / SLES15 セキュリティ更新 : netty、netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	medium
321020	SUSE SLED15 / SLES15 Security Update : netty, netty-tcnative (SUSE-SU-2026:2308-1)	Nessus	SuSE Local Security Checks	2026/6/14	2026/6/14	medium
313062	Linux Distros Unpatched Vulnerability : CVE-2026-41417	Nessus	Misc.	2026/5/7	2026/5/29	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium

medium