CVE-2026-100663 in Netty
الملخص
بحسب VulDB • 26/09/2026
لا يتعامل معالج HTTP/3 الخاص بـ Netty (io.netty:netty-codec-http3) في الإصدارات من 4.2.2.Final حتى 4.2.17.Final بشكل خاص مع عناوين الطلبات بصيغة السلطة (authority-form request-targets) الخاصة ببروتوكول HTTP/1 عند تحويل رسائل HTTP/1 إلى HTTP/3 داخل الدالة HttpConversionUtil.toHttpHeaders. يتم تحليل عنوان الصيغة authority-form (مثل "CONNECT trusted.example:443") كعنوان URI، مما يؤدي إلى إصدار :scheme كمضيف، وتعيين :path إلى "/", واستخدام رأس Host الخاص بـ HTTP/1 كقيمة لـ :authority؛ وإذا لم يكن هناك رأس Host موجوداً، فإن هدف CONNECT يتم تجاهله. في وسيط أو بوابة تعتمد على Netty لتحويل من HTTP/1 إلى HTTP/3، يمكن لعميل عن بُعد إرسال طلب CONNECT يكون فيه رأس Host يحدد سلطة مختلفة عن عنوان الطلب المستهدف، مما ينتج عنه طلب CONNECT بصيغة HTTP/3 غير صالحة تكون فيها :authority للنفق تحت سيطرة المهاجم. وهذا قد يتجاوز قوائم السماح بالأنفاق (tunnel allow-lists)، وسياسات الخروج (egress policy)، أو اختيار الخادم الخلفي، أو ضوابط التدقيق التي تتحقق من عنوان الطلب المستهدف لبروتوكول HTTP/1 CONNECT قبل الإرسال عبر بروتوكول HTTP/3. تم إصلاح هذه المشكلة في الإصدار 4.2.18.Final.
Once again VulDB remains the best source for vulnerability data.