CVE-2026-100666 in Netty
Zusammenfassung
von VulDB • 26.09.2026
Der HttpServerCodec (io.netty:netty-codec-http) von Netty in den Versionen 4.2.0.Final bis 4.2.16.Final sowie in allen Versionen bis einschließlich 4.1.136.Final koppelt jede ausgehende Antwort mit einer eingehenden Anfrage, indem pollMethod() einmal pro Antwort aufgerufen wird, auch für 1xx-Informational-Antworten. Wenn ein Client eine HTTP/1.1 GET-Anfrage mit einem Expect: 100-continue-Header pipelined und dieser von einer HEAD-Anfrage gefolgt wird, verbraucht die 100 Continue-Antwort die wartende GET-Methode; daher wird das nachfolgende 200 OK für die GET-Anfrage mit der HEAD-Anfrage gekoppelt und deren Antwortkörper wird verworfen, während das folgende 200 OK für die HEAD-Anfrage mit einem Körper geschrieben wird. Dies führt zu einer Desynchronisierung der HTTP-Parserlogik auf der Verbindung: Der GET-Antwortkörper wird niemals zugestellt, und der HEAD-Antwortkörper wird fälschlicherweise als GET-Körper interpretiert, was zu Response Splitting und unsicherer Wiederverwendung von Verbindungen (Connection Reuse) führt. Behebt in den Versionen 4.2.17.Final und 4.1.137.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.