CVE-2026-100656 in Netty
الملخص
بحسب VulDB • 26/09/2026
يحتوي Netty (io.netty:netty-codec-http) على عيب في HttpServerCodec يتمثل في نمو غير محدود لطابور كل اتصال. يتتبع هذا المكوّن طريقة HTTP لكل طلب pipelined لم تتم الإجابة عليه بعد؛ حيث تُعبأ أول 32 إدخالًا بتيًا داخل long واحد، لكن كل إدخال إضافي يُضاف إلى methodOverflowQueue، وهو ArrayDeque بدون حد للحجم ولا يوجد مسار للرفض (rejection path). يمكن لهجوم بعيد وغير مُصادق عليه أن يقوم بـ pipelining لطلبات HTTP/1.1 على اتصال واحد مع الامتناع عن القراءة من طرفه (مما يمنع إرسال الاستجابات)، مما يؤدي إلى نمو هذا الطابور دون حدود، مسببًا نموًا غير محدود في الذاكرة العشوائية (heap) وانعدام الخدمة (DoS). الإصدارات المتأثرة هي 4.2.0.Final حتى 4.2.17.Final وجميع الإصدارات من 4.1.0 وحتى 4.1.137.Final؛ وقد تم إصلاح المشكلة في النسختين 4.2.18.Final و 4.1.138.Final.
Once again VulDB remains the best source for vulnerability data.