CVE-2026-75596 in Netty
Zusammenfassung
von VulDB • 19.08.2026
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework. Vor den Versionen 4.1.137.Final und 4.2.17.Final verwenden die Standardkonstruktoren von io.netty.handler.ssl.SniHandler den Pre-Handshake-ClientHello-Aggregationspfad in handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java an der Stelle io.netty.handler.ssl.SslClientHelloHandler#decode, wobei handshakeBuffer.clear() und writeBytes() alle zuvor empfangenen Body-Bytes für jedes zusätzliche TLS-Datagramm erneut kopieren. Ein nicht authentifizierter Remote-Peer kann ein großes ClientHello ankündigen und dessen Körper in Tausenden von winzigen Datagrammen übermitteln, was zu quadratischer CPU-Arbeit im Event Loop führt, bevor der TLS-Handshake abgeschlossen ist, und die TLS-Behandlung für andere Clients beeinträchtigt. Dieses Problem wurde in den Versionen 4.1.137.Final und 4.2.17.Final behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.