p PatchFirst

CVE-2026-42578

CVE-2026-42578 · Netty: HTTP Header Injection via HttpProxyHandler Disabled Validation

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, Netty's HttpProxyHandler constructs HTTP CONNECT requests with header validation explicitly disabled. The newInitialMessage() method creates headers using DefaultHttpHeadersFactory.headersFactory().withValidation(false), then adds user-provided outboundHeaders without any CRLF validation. This allows an attacker who can influence the outbound headers to inject arbitrary HTTP headers into the CONNECT request sent to the proxy server. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.

CVSS 2.9 · Baja · EPSS 1,1% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system

Productos y versiones afectados

  • netty

    Versiones
    • >= 4.2.0.Alpha1, < 4.2.13.Final: Afectada
    • < 4.1.133.Final: Afectada

    Sin corrección publicada

  • netty Debian:12

    Versiones
    • 1:4.1.48-10
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-15
    • 1:4.1.48-16
    • 1:4.1.48-7
    • 1:4.1.48-7+deb12u1
    • 1:4.1.48-7+deb12u2
    • 1:4.1.48-8
    • 1:4.1.48-9
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • netty Debian:13

    Versiones
    • 1:4.1.48-10
    • 1:4.1.48-10+deb13u1
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-15
    • 1:4.1.48-16
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • netty Debian:14

    Versiones
    • 1:4.1.48-10
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-15
    • 1:4.1.48-16
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • netty Ubuntu:Pro:18.04:LTS

    Versiones
    • 1:4.1.7-4
    • 1:4.1.7-4ubuntu0.1~esm1
    • 1:4.1.7-4ubuntu0.1
    • 1:4.1.7-4ubuntu0.1+esm1
    • 1:4.1.7-4ubuntu0.1+esm2
    • 1:4.1.7-4ubuntu0.1+esm3
    • 1:4.1.7-4ubuntu0.1+esm4
    • 1:4.1.7-4ubuntu0.1+esm5
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1:4.1.7-4ubuntu0.1+esm6

    Actualiza a 1:4.1.7-4ubuntu0.1+esm6

  • netty Ubuntu:Pro:20.04:LTS

    Versiones
    • 1:4.1.33-1
    • 1:4.1.33-2
    • 1:4.1.33-3
    • 1:4.1.45-1
    • 1:4.1.45-1ubuntu0.1~esm1
    • 1:4.1.45-1ubuntu0.1~esm2
    • 1:4.1.45-1ubuntu0.1~esm3
    • 1:4.1.45-1ubuntu0.1~esm4
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1:4.1.45-1ubuntu0.1~esm6

    Actualiza a 1:4.1.45-1ubuntu0.1~esm6

  • netty Ubuntu:Pro:22.04:LTS

    Versiones
    • 1:4.1.48-4
    • 1:4.1.48-4+deb11u1build0.22.04.1
    • 1:4.1.48-4+deb11u2build0.22.04.1
    • 1:4.1.48-4+deb11u2ubuntu0.1~esm1
    • 1:4.1.48-4+deb11u2ubuntu0.1~esm2
    • 1:4.1.48-4+deb11u2ubuntu0.1
    • 1:4.1.48-4+deb11u2ubuntu0.1+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1:4.1.48-4+deb11u2ubuntu0.1+esm3

    Actualiza a 1:4.1.48-4+deb11u2ubuntu0.1+esm3

  • netty Ubuntu:Pro:24.04:LTS

    Versiones
    • 1:4.1.48-7
    • 1:4.1.48-8
    • 1:4.1.48-9
    • 1:4.1.48-9ubuntu0.1~esm1
    • 1:4.1.48-9ubuntu0.1~esm2
    • 1:4.1.48-9ubuntu0.1
    • 1:4.1.48-9ubuntu0.1+esm1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1:4.1.48-9ubuntu0.1+esm3

    Actualiza a 1:4.1.48-9ubuntu0.1+esm3

  • netty Ubuntu:25.10

    Versiones
    • 1:4.1.48-10
    • 1:4.1.48-10ubuntu0.25.10.1
    • 1:4.1.48-10ubuntu0.25.10.2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • netty Ubuntu:26.10

    Versiones
    • 1:4.1.48-16
    • 1:4.1.48-16ubuntu1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • netty Ubuntu:Pro:26.04:LTS

    Versiones
    • 1:4.1.48-10
    • 1:4.1.48-11
    • 1:4.1.48-12
    • 1:4.1.48-13
    • 1:4.1.48-14
    • 1:4.1.48-16
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1:4.1.48-16ubuntu0.1~esm2

    Actualiza a 1:4.1.48-16ubuntu0.1~esm2

Fuentes originales

Comprueba tu servidor →