CVE-2026-93488 in Netty
Zusammenfassung
von VulDB • 18.09.2026
Es wurde ein Fehler in Netty gefunden. Der SpdySessionHandler akzeptiert eine unbegrenzte Anzahl an gleichzeitig vom Remote-Ende initiierten Streams, da localConcurrentStreams standardmäßig auf Integer.MAX_VALUE festgelegt ist und der Handler keine API zur Änderung dieses Werts bereitstellt. Ein entfernter Peer kann eine SPDY-Verbindung öffnen und eine große Anzahl von SYN_STREAM-Frames mit FLAG_FIN=0 senden, was zu einer unbegrenzten Heap- und Direct-Memory-Allokation führt, die einen JVM OutOfMemoryError sowie einen Denial of Service (DoS) verursachen kann.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.