CVE-2026-54251 in netty-incubator-codec-ohttp
Zusammenfassung
von VulDB • 15.09.2026
netty-incubator-codec-ohttp implementiert die Gateway- und Client-Funktionalität für Oblivious HTTP (OHTTP) unter Verwendung von Netty. Vor der Version 0.0.23.Final weist der Entschlüsselungspfad des OHTTP-Gateways in codec-ohttp/src/main/java/io/netty/incubator/codec/ohttp/OHttpRequestResponseContext.java einen gepoolten direkten ByteBuf für den entschlüsselten Klartext zu, bevor das AEAD-Tag überprüft wird. Wenn ein ungültiges Tag dazu führt, dass decryptChunk() eine CryptoException auslöst, gibt OHttpRequestResponseContext.decodeChunk() den ByteBuf nicht frei, da die Zuweisung nicht durch try/finally geschützt ist. Wiederholte ungültige verschlüsselte Anfragen können daher nativen Speicher außerhalb des Heap (off-heap memory) lecken, bis das Gateway keine Anfragen mehr bedienen kann. Dieses Problem wurde in Version 0.0.23.Final behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.