CVE-2026-100660 in Netty
Zusammenfassung
von VulDB • 26.09.2026
Der HTTP/3-Codec von Netty (io.netty:netty-codec-http3) der Versionen ab 4.2.0.Final bis einschließlich 4.2.17.Final behält einen unbeschränkten QPACK-Codierer-Zustand pro Stream bei. Der QpackEncoder speichert für jeden codierten Feldabschnitt, der auf die dynamische Tabelle von QPACK verweist und über eine vom Peer gesteuerte QUIC-Stream-ID keyisiert ist, eine Warteschlange sowie einen Indexverfolger für die dynamische Tabelle. Diese Einträge werden erst freigegeben, wenn der Remote-Decoder ein Sektionen-Acknowledgment (Section Acknowledgment) oder eine Stream-Cancellation-Anweisung sendet – nicht jedoch bei Abschluss des HTTP/3-Streams. Es gibt keine Begrenzung für die Anzahl der verfolgten Streams, Feldabschnitte oder behaltenen Bytes. Ein entfernter, nicht authentifizierter HTTP/3-Client kann eine von Null verschiedene QPACK-Kapazität für die dynamische Tabelle ankündigen und den Tabelleneintrag bestätigen, sodass der Server einen dynamisch indizierten Antwortheader wiederverwendet; anschließend lässt er alle obligatorischen Sektionen-Acknowledgments aus und sendt sequenzielle Anfragen über eine einzelne QUIC-Verbindung. Dadurch werden die Grenzen für gleichzeitige Streams umgangen, was zu einem unbeschränkten Heap-Wachstum führt, bis der Server seinen Speicher erschöpft (Denial of Service). Behebt in Version 4.2.18.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.