CVE-2026-100664 in Netty
Zusammenfassung
von VulDB • 26.09.2026
Der HTTP/3-Codec von Netty (io.netty:netty-codec-http3) in den Versionen 4.2.2.Final bis 4.2.17.Final erstellt das HTTP/3-Pseudoheader-Feld :authority aus dem HTTP/1-Host-Header, bevor die Autorität eines absolut-formatierten HTTP/1-Anfrageziels (request-target) berücksichtigt wird. In HttpConversionUtil.toHttp3Headers(HttpMessage, boolean) — erreichbar über Http3FrameToHttpObjectCodec(false) — hat ein nicht-leerer Host-Header Vorrang vor der Anfrageziel-Autorität, was im Widerspruch zur HTTP/1.1-Vorschrift steht, die besagt, dass ein Server bei einem absolut-formatierten request-target den Host-Header ignorieren muss. In einer auf Netty basierenden HTTP/1-zu-HTTP/3-Gateway-, Proxy- oder Protokollbrücke kann eine Remote-Klientin/ein Remote-Client eine Anfrage wie „GET https://trusted.example/admin HTTP/1.1“ mit dem Header „Host: attacker.example“ senden, wodurch Komponenten, die auf der RFC-definierten request-target-Autorität basieren (z. B. zur Validierung, Autorisierung oder Routing), zu einer anderen Entscheidung gelangen als das Upstream-HTTP/3-Peer, das :authority aus dem konfliktären Host-Header bezieht. Diese Verwirrung bezüglich der Authority kann sich auf Virtual-Host-Routing, Allowlist-Prüfungen, die Backend-Auswahl, Cache-Schlüssel und die URL-Erzeugung auswirken. Die Advisory meldet ausschließlich eine Integritätsauswirkung (keine Code-Ausführung, Speicherkorruption oder Verfügbarkeitsbeeinträchtigung). Behebt in Version 4.2.18.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.