BDU:2026-09996: Уязвимость компонента io.netty.handler.codec.http3.QpackDecoder фреймворка для разработки сетевых приложений, серверов и клиентов протоколов Netty, позволяющая нарушителю вызвать отказ в обслуживании
Детали уязвимости BDU:2026-09996
Описание
Уязвимость компонента io.netty.handler.codec.http3.QpackDecoder фреймворка для разработки сетевых приложений, серверов и клиентов протоколов Netty связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Что делать с BDU:2026-09996
Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAV:N/AC:L/Au:N/C:N/I:N/A:CCVE — международный идентификатор
CWE-770 — выделение ресурсов без ограничений: код выделяет память, потоки или соединения по запросу без лимитов. Ошибка проявляется в серверном коде при потоке однотипных запросов или при передаче данных большого объёма в одном запросе. Злоумышленник исчерпывает ресурсы узла и получает отказ в обслуживании для всех пользователей.
Тактики и техники
Уязвимое ПО (19)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| Novell Inc. | SUSE Linux Enterprise Server for SAP Applications | 15 SP5 | Не указана |
| Novell Inc. | SUSE Linux Enterprise High Performance Computing | 15 SP4-ESPOS | Не указана |
| Novell Inc. | SUSE Linux Enterprise High Performance Computing | 15 SP4-LTSS | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP4-LTSS | Не указана |
| Novell Inc. | SUSE Linux Enterprise Server for SAP Applications | 15 SP6 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP5-LTSS | Не указана |
| Novell Inc. | SUSE Linux Enterprise High Performance Computing | 15 SP5-LTSS | Не указана |
| Novell Inc. | SUSE Linux Enterprise High Performance Computing | 15 SP5-ESPOS | Не указана |
| Novell Inc. | Suse Linux Enterprise Desktop | 15 SP7 | Не указана |
| Novell Inc. | SUSE Linux Enterprise High Performance Computing | 15 SP7 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP7 | Не указана |
| Novell Inc. | SUSE Linux Enterprise Server for SAP Applications | 15 SP7 | Не указана |
| Novell Inc. | SUSE Linux Enterprise Module for Development Tools | 15 SP7 | Не указана |
| Novell Inc. | SUSE Linux Enterprise Module for Package Hub | 15 SP7 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 8.0 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP6-LTSS | Не указана |
| Сообщество свободного программного обеспечения | Netty | до 4.2.13.Final | Не указана |
| Сообщество свободного программного обеспечения | Netty | до 4.1.133.Final | Не указана |
Среды функционирования (10)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| Novell Inc. | SUSE Linux Enterprise Server for SAP Applications | 15 SP5 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP4-LTSS | Не указана |
| Novell Inc. | SUSE Linux Enterprise Server for SAP Applications | 15 SP6 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP5-LTSS | Не указана |
| Novell Inc. | Suse Linux Enterprise Desktop | 15 SP7 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP7 | Не указана |
| Novell Inc. | SUSE Linux Enterprise Server for SAP Applications | 15 SP7 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 8.0 | Не указана |
| Novell Inc. | Suse Linux Enterprise Server | 15 SP6-LTSS | Не указана |
Рекомендации по устранению
Использование рекомендаций: Для Netty: https://netty.io/news/2026/05/04/4-1-133-Final.html Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2026-42582.html Для РЕД ОС: https://redos.red-soft.ru/support/secure/
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 7.5
Уточните SLA под вашу среду
Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2026-05-04
Опубликована
2026-07-17
Обновлена
2026-07-17
Эксплойт
Существует в открытом доступе
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость таблиц предоставления прав Grant Table гипервизора Xen, позволяющая нарушителю раскрыть защищаемую информацию
Уязвимость механизма обработки каналов событий FIFO гипервизора Xen, позволяющая нарушителю оказать воздействие на конфи
Уязвимость механизма Populate on Demand (PoD) гипервизора Xen, позволяющая нарушителю вызвать отказ в обслуживании
Уязвимость кода обработки гипервызовов DM_OP гипервизора Xen, позволяющая нарушителю оказать воздействие на конфиденциал
Уязвимость таблиц предоставления прав Grant Table гипервизора Xen, позволяющая нарушителю раскрыть защищаемую информацию
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
