CVE-2026-100662 in Netty
الملخص
بحسب VulDB • 26/09/2026
تحتوي مكتبة ترميز HTTP/3 الخاصة بـ Netty (io.netty:netty-codec-http3) في الإصدارات من 4.2.0.Final حتى 4.2.17.Final على ثغرة استهلاك غير خاضع للتحكم للموارد في فاحص تعليمات ترميز QPACK (QpackEncoderHandler، المثبت على قناة QPACK المشفرة أحادية الاتجاه التي يبادر بها الطرف الآخر، النوع 0x02). يقبل المعالج طولاً لـ "الترميز الحرفي" يُعلنه المهاجم يصل إلى Integer.MAX_VALUE (~2 غيغابايت) لحقلي طول الاسم وطول القيمة في تعليمات "الإدراج مع اسم حرفي" (RFC 9204 §4.3.3)، دون وجود حد أقصى لطول كل تعليمة أو لكل ترميز حرفي، ودون حد تراكمي للحجم؛ ولا تُطبق حدود HTTP/3 الحالية (maxHeaderListSize, maxUnknownFramePayloadLength, DEFAULT_MAX_FIELD_SECTION_SIZE) على هذا المعالج. يمكن لعميل عن بُعد وغير مُصادق عليه يمتلك اتصالاً بـ HTTP/3 قائماً مع خادم Netty الافتراضي لـ HTTP/3 أن يُعلن طولاً حرفياً كبيراً جداً ثم يرسل عدد بايتات أقل مما أُعلن، ما يتسبب في احتفاظ ByteToMessageDecoder MERGE cumulator بالنموذج الخاص بكل اتصال وزيادة حجمه، وفي النهاية يؤدي إلى تخصيص مصفوفة بايت كبيرة. هذا يؤدي إلى نمو غير محدود للذاكرة العشوائية (heap) لكل اتصال وخطأ OutOfMemoryError، مما ينتج عنه حجب الخدمة. تم الإصلاح في الإصدار 4.2.18.Final.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.