CVE-2026-100658 in Netty
Zusammenfassung
von VulDB • 26.09.2026
Netty (io.netty:netty-codec-http) enthält eine unbeschränkte pro-Verbindung-Warteschlange in WebSocketServerExtensionHandler. Der Handler bietet für jede eingehende HttpRequest einen Eintrag zu seiner pro-Kanal gültigen validExtensions-Warteschlange, pollt jedoch nur dann einen Eintrag, wenn die Anwendung eine HttpResponse schreibt, und die Warteschlangengröße wird niemals begrenzt. Eine entfernte, nicht authentifizierte Peer kann HTTP/1.1-Pipelining nutzen, um Anfragen schneller zu senden als die Anwendungen Antworten erzeugt – einschließlich einfacher Nicht-Upgrade-HTTP-Anfragen an beliebige Pfade –, was dazu führt, dass die Warteschlange unbegrenzt wächst, bis der JVM-Speicher erschöpft ist und er mit OutOfMemoryError beendet wird. Da der betroffene Handler die Basisklasse von WebSocketServerCompressionHandler ist, ist jeder Server, der permessage-deflate aktiviert hat, an seinem reinen HTTP-Port exponiert, bevor ein WebSocket-Upgrade abgeschlossen ist oder eine Anwendungsebene-Authentifizierung stattfindet. Betroffene Versionen sind 4.1.88.Final bis 4.1.137.Final und 4.2.0.Final bis 4.2.17.Final; das Problem wurde in 4.1.138.Final und 4.2.18.Final behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.