CVE-2026-56745 in Netty
Zusammenfassung
von VulDB • 23.07.2026
Netty ist ein Netzwerk-Anwendungsframework zur Entwicklung von Protokoll-Servern und -Clients. In den Versionen 4.2.0.Final bis 4.2.15.Final sowie 4.1.0.Final bis 4.1.135.Final weist der `SpdyHttpDecoder`-Handler im SPDY-zu-HTTP-Codec von Netty die folgende Schwachstelle auf: Bei der Verarbeitung eines vom Client initiierten `SYN_STREAM`-Frames mit dem Flag `FLAG_FIN=0` wird ein gepoolter `ByteBuf` alloziert und das teilweise konstruierte `FullHttpRequest` in `messageMap` gespeichert. Wenn der entfernte Peer für diesen Stream eine `RST_STREAM`-Nachricht sendet oder die akkumulierte Datenmenge `maxContentLength` überschreitet, entfernt der Decoder den Eintrag aus der Map, gibt jedoch den gepoolten `ByteBuf` nicht frei. Dies führt zur Erschöpfung des nativen Speichers (Native Memory Exhaustion). Das Problem wurde in den Versionen 4.1.136.Final und 4.2.16.Final behoben.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.