CVE-2026-44248: Netty MQTT 消息大小限制绕过漏洞 (≤4.2.9.Final) - MEDIUM
平台
java
组件
netty
修复版本
4.2.13.Final
CVE-2026-44248 是 io.netty:netty-codec-mqtt 软件中发现的一个消息大小限制绕过漏洞。由于 MQTT 5 header Properties 部分在应用消息大小限制之前被解析和缓冲，攻击者可以发送包含巨大 Properties 部分的消息，导致拒绝服务或资源耗尽。此漏洞影响 Netty codec mqtt 的版本小于或等于 4.2.9.Final。该漏洞已在 4.2.13.Final 版本中修复。
检测此 CVE 是否影响你的项目
上传你的 pom.xml 文件，立即知道是否受影响。
影响与攻击场景
CVE-2026-44248 在 io.netty:netty-codec-mqtt 中存在一个漏洞，由于 MQTT 5 标头 Properties 部分的解析和缓冲方式，可能导致拒绝服务 (DoS) 攻击。具体来说，MqttDecoder 中的 decodeVariableHeader() 方法在 bytesRemainingBeforeVariableHeader > maxBytesInMessage 检查之前被调用。这使得攻击者能够发送具有过大 Properties 的 MQTT 5 消息，从而可能耗尽服务器资源并导致崩溃。此漏洞源于 Properties 大小验证不足，允许攻击者触发过多的内存分配。这可能导致资源耗尽，并阻止合法用户访问 MQTT 代理。
利用背景
攻击者可以通过发送包含非常大的 Properties 部分的 MQTT 5 消息来利用此漏洞。由于 Netty 解码器在处理 Properties 之前不验证其大小，因此服务器可能会消耗过多的内存，从而导致拒绝服务。利用不需要身份验证，并且可以从网络上的任何具有访问 MQTT 服务器权限的位置执行。此漏洞的易利用性和潜在影响使其成为使用 io.netty:netty-codec-mqtt 的系统的重大问题。
威胁情报
漏洞利用状态
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 无 — 无机密性影响。
- Integrity
- 无 — 无完整性影响。
- Availability
- 低 — 部分或间歇性拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
缓解措施和替代方案
针对 CVE-2026-44248 的主要缓解措施是升级到 netty-codec-mqtt 库的 4.2.13.Final 或更高版本。此版本通过在处理 MQTT 5 Properties 之前验证消息大小限制来修复漏洞。如果无法立即升级，请考虑实施临时保护措施，例如在服务器配置中限制接受的最大 MQTT 消息大小。监控服务器内存使用情况并设置异常峰值警报也有助于检测和响应潜在的 DoS 攻击。定期审查和更新库依赖项对于防止未来漏洞至关重要。
修复方法翻译中…
Actualice la biblioteca Netty a la versión 4.2.13.Final o superior, o a la versión 4.1.133.Final o superior. Esta actualización corrige la vulnerabilidad al aplicar límites al tamaño de las propiedades decodificadas en el protocolo MQTT 5, previniendo el agotamiento de recursos.
常见问题
CVE-2026-44248 是什么 — io.netty:netty-codec-mqtt 中的漏洞？
MQTT 5 是 MQTT 协议的最新版本，这是一种轻量级消息传递协议，专为具有有限资源和低带宽网络的设备而设计。
io.netty:netty-codec-mqtt 中的 CVE-2026-44248 是否会影响我？
升级到修复后的版本对于防止可能干扰您 MQTT 系统可用性的拒绝服务攻击至关重要。
如何修复 io.netty:netty-codec-mqtt 中的 CVE-2026-44248？
实施临时保护措施，例如在服务器配置中限制接受的最大 MQTT 消息大小。
CVE-2026-44248 是否正在被积极利用？
监控服务器内存使用情况并设置异常峰值警报。
在哪里可以找到 io.netty:netty-codec-mqtt 关于 CVE-2026-44248 的官方安全通告？
重要的是随时了解 Netty 和您系统使用的其他库的安全更新。
检测此 CVE 是否影响你的项目
上传你的 pom.xml 文件，立即知道是否受影响。
立即扫描您的Java / Maven项目 — 无需账户
Upload your pom.xml and get the vulnerability report instantly. No account. Uploading the file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...