Netty 是一个异步事件驱动的网络应用框架，主要用于可维护的高性能协议服务器和客户端的快速开发。Netty 4.2.15.Final 现已发布，这是一个修复漏洞和安全问题的版本。

• CVE-2026-48059：io.netty:netty-codec-haproxy内存耗尽（high）
• CVE-2026-47691：io.netty:netty-resolver-dns中的 DNS 缓存中毒（high）
• CVE-2026-XXXXX：io.netty:netty-codec-http2中的 DDoS
• CVE-2026-XXXXX：io.netty:netty-codec-redis内存耗尽（high）
• CVE-2026-44250：io.netty:netty-codec-redis内存耗尽（high）
• CVE-2026-44890：io.netty:netty-codec-redis内存耗尽（high）
• CVE-2026-XXXXX：io.netty:netty-codec-classes-quic中的信息泄露和拒绝服务攻击
• CVE-2026-44249：io.netty:netty-handler中的 IPv6 subnet filter 绕过（high）
• CVE-2026-XXXXX：io.netty:netty-codec-http中的 request smuggling
• CVE-2026-44892：io.netty:netty-codec-http3内存耗尽（high）
• CVE-2026-44893：io.netty:netty-codec-haproxy内存泄漏（high）
• CVE-2026-44894：io.netty:netty-codec-classes-quic中的 traffic amplification （high）
• CVE-2026-XXXXX：io.netty:netty-handler中的 TLS 主机名验证意外禁用（high）
• CVE-2026-45673：io.netty:netty-resolver-dns中的 DNS 缓存投毒
• CVE-2026-45416：io.netty:netty-handler中 SNIHandler 导致的内存使用过量（high）
• CVE-2026-45536：io.netty:netty-transport-native-epoll和io.netty:netty-transport-native-kqueue中的文件描述符泄漏
• CVE-2026-45674：io.netty:netty-resolver-dns中的 DNS 缓存中毒（high）
• CVE-2026-46340：io.netty:netty-transport-sctp中的内存耗尽（high）
• CVE-2026-47244：io.netty:netty-codec-http2中的拒绝服务
• CVE-2026-48006：io.netty:netty-codec-redis中的内存耗尽（high）
• CVE-2026-48748：io.netty:netty-codec-http3中的内存耗尽（high）
• CVE-2026-48043：io.netty:netty-codec-http2中的内存耗尽

其他重大变化包括：

• 修复io.netty.channel.uring.IoUringIoHandler.wakeup 中的竞争问题 #16836
• HTTP/2：像 Vert.x 一样解析 request-target 路径 #16810
• ChannelInitializer：更正关于 exceptionCaught 路由的误导性注释 #16853
• FlowControlHandler：清空队列后抑制重复的 channelReadComplete 事件 #16837
• 将 maxAllocation 传递给 Brotli 和 Zstd 解码器 #16844
• 向 ZstdDecoder 添加 maxWindowLog 参数以限制内存分配 #16850
• MQTT：拒绝 Remaining Length 不为零的格式错误无有效载荷数据包 #16890

更多详情可参阅完整版本说明。