Vulnerabilidad en Netty (CVE-2025-25193)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

10/02/2025

Última modificación:

11/06/2025

Descripción

Netty, un framework de aplicación de red asincrónico y controlado por eventos, tiene una vulnerabilidad en las versiones hasta la 4.1.118.Final incluida. Una lectura no segura del archivo de entorno podría causar una denegación de servicio en Netty. Cuando se carga en una aplicación de Windows, Netty intenta cargar un archivo que no existe. Si un atacante crea un archivo tan grande, la aplicación Netty se bloquea. Anteriormente se informó de un problema similar como CVE-2024-47535. Este problema se solucionó, pero la solución estaba incompleta porque los bytes nulos no se contabilizaban en el límite de entrada. El commit d1fbda62d3a47835d3fb35db8bd42ecc205a5386 contiene una solución actualizada.

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.50 MEDIA
Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto