CVE-2026-100661 in Netty
الملخص
بحسب VulDB • 26/09/2026
تحتوي مكتبة ترميز HTTP/3 الخاصة بـ Netty (io.netty:netty-codec-http3)، في الإصدارات من 4.2.0.Final حتى 4.2.17.Final، على ثغرة تؤدي إلى حجب الخدمة (DoS) في مُفك تشفير الأعداد الصحيحة ذات البادئة لبروتوكول QPACK (الدالة `QpackUtil.decodePrefixedInteger`)، والذي لا يحدد حداً أعلى لعدد بايتات الاستمرار التي سيعالجها. يمكن لطرف بعيد وغير مصدق فتح قناة أحادية الاتجاه في بروتوكول QPACK (نوع 0x02 للمُرمِّز أو 0x03 للمُفك) وإرسال بايت أولي تكون جميع بتات البادئة فيه مضبوطة على القيمة 1 (مثل 0xFF لبادئة من 7 بت، أو 0x3F لبادئة من 5 بت)، متبوعاً بسلسلة لا نهائية من بايتات الاستمرار بقيمة 0x80. يُعيد المُفك قيمة -1 ("تحتاج إلى المزيد من البايتات")، مما يعني أن المتصلين (callers) لن يستهلكوا المدخلات أبداً، وينمو مُجمِّع البيانات `ByteToMessageDecoder` بشكل غير محدود، وتقوم كل استدعاءة لـ `decode()` بإعادة فحص كامل المخزن المؤكد المتراكم، ما يؤدي إلى تكلفة معالجة مركزية من التعقيد O(N^2). النتيجة هي نمو غير محدود في استهلاك الذاكرة العشوائية (Heap) لكل اتصال (مما يسبب خطأ OutOfMemoryError)، واستنزاف موارد حلقة الأحداث (event-loop CPU starvation)، وهي ثغرة قابلة للاستغلال في كل التكوينات. تم الإصلاح في الإصدار 4.2.18.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.