CVE-2026-42587 in netty-codec-http
Zusammenfassung
von VulDB • 28.05.2026
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungsframework. Vor den Versionen 4.2.13.Final und 4.1.133.Final akzeptiert HttpContentDecompressor einen maxAllocation-Parameter, um die Größe des Dekomprimierungspuffers zu begrenzen und Dekomprimierungs-Bomben-Angriffe zu verhindern. Diese Begrenzung wird für gzip- und deflate-Codierungen über ZlibDecoder korrekt durchgesetzt, wird jedoch stillschweigend ignoriert, wenn die Content-Encoding br (Brotli), zstd oder snappy ist. Ein Angreifer kann die konfigurierte Dekomprimierungsgrenze umgehen, indem er ein komprimiertes Payload mit Content-Encoding: br anstelle von Content-Encoding: gzip sendet, was zu einer unbegrenzten Speicherzuweisung und einem Out-of-Memory-Denial-of-Service führt. Die gleiche Schwachstelle existiert in DelegatingDecompressorFrameListener für HTTP/2-Verbindungen. Diese Schwachstelle wurde in 4.2.13.Final und 4.1.133.Final behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.