Уязвимость HTTP request smuggling в Netty netty-codec-http (CVE-2026-93574)
В компоненте netty-codec-http библиотеки Netty обнаружена уязвимость, позволяющая проводить контрабанду HTTP-запросов (HTTP request smuggling) из-за некорректного разбора размера чанка при наличии пробельных символов после цифр. Проблема затрагивает ряд продуктов Red Hat, включая Quarkus, Keycloak, JBoss EAP, AMQ Broker и другие. Уровень опасности — средний (CVSS 6.5).
Подробности
Уязвимость возникает при разборе токена размера чанка в HTTP/1.1: если после цифр следуют пробельные символы, Netty обрабатывает такой токен неправильно. Это расхождение в трактовке размера чанка между прокси-сервером и backend-сервером открывает возможность для HTTP request smuggling. Эксплуатация не требует аутентификации: удалённый атакующий может отправить специально сформированный HTTP/1.1-запрос, чтобы обойти механизмы безопасности или получить доступ к неавторизованным ресурсам в конфигурациях с прокси и backend-сервисами. Наиболее опасны такие сценарии в цепочках, где разные компоненты по-разному интерпретируют границы запросов. Под уязвимость попадает широкий спектр продуктов Red Hat, в сборках которых используется затронутый компонент Netty, в том числе: - Red Hat Build of Debezium 3.6; - Red Hat build of Quarkus 3.27.5.SP2 и 3.33.3.SP2; - Red Hat AMQ Broker 7 и Red Hat AMQ Clients; - Red Hat build of Apache Camel 4 for Quarkus 3 и Red Hat build of Apache Camel for Spring Boot 4; - Red Hat build of Apicurio Registry 3; - Red Hat Build of Keycloak; - Red Hat Data Grid 8; - Red Hat Fuse 7; - Red Hat JBoss Enterprise Application Platform 7 и 8; - Red Hat Single Sign-On 7.Что делать
Основная рекомендация — обновить затронутые продукты до версий, содержащих исправленную сборку Netty. Поскольку уязвимость затрагивает множество компонентов Red Hat, следует ориентироваться на официальные рекомендации и бюллетени безопасности вендора для каждой конкретной линейки продуктов (Quarkus, Keycloak, JBoss EAP, AMQ, Camel и др.). Если немедленное обновление невозможно, стоит рассмотреть временные меры: - ограничить доступ к затронутым сервисам из недоверенных сетей; - проверять конфигурации прокси и backend-серверов на предмет согласованного разбора chunked-кодирования; - применять промежуточные компоненты (WAF, прокси), корректно обрабатывающие пробельные символы в токене размера чанка; - усилить мониторинг подозрительной активности, связанной с аномальными HTTP-запросами. Итог: CVE-2026-93574 — уязвимость среднего уровня, но её последствия в виде HTTP request smuggling могут быть серьёзными для распределённых приложений с прокси-инфраструктурой. Организациям, использующим продукты Red Hat на базе Netty, следует как можно скорее применить предоставленные вендором обновления и проверить конфигурацию своих сервисов.Источник: CVE Project (cvelistV5)