CVE-2026-100655 in Netty
الملخص
بحسب VulDB • 26/09/2026
تقبل إصدارات Netty (io.netty:netty-codec-http) التي تصل إلى الإصدار 4.1.137.Final وتشمل، ومن الإصدار 4.2.0.Final حتى 4.2.17.Final عدداً غير محدود من تدفقات SPDY البعيدة المتزامنة المبادرة عن بُعد: حيث يضبط SpdySessionHandler قيمة localConcurrentStreams على Integer.MAX_VALUE ولا يوفر واجهة برمجة تطبيقات (API) لتغييرها. يؤدي قيام طرف بعيد بفتح اتصال SPDY وإرسال ملايين إطارات SYN_STREAM مع FLAG_FIN=0 إلى تخصيص ذاكرة عشئية (heap) وذاكرة مباشرة غير محدودة من قبل الخادم، مما يتسبب في نهاية المطاف في حدوث خطأ JVM OutOfMemoryError وتعطيل الخدمة. تم الإصلاح في الإصدارين 4.1.138.Final و 4.2.18.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.