CVE-2026-93565 in Netty
Zusammenfassung
von VulDB • 18.09.2026
### Zusammenfassung
`RtspMethods.valueOf()` entfernt stillschweigend nachgestellte Steuerzeichen (alle Zeichen mit einem Codepoint <= 0x20, also den gesamten Bereich, der von `String.trim()` entfernt wird), bevor es eine Cache-Suche gegen seine zehn vorbefüllten Methodenkonstanten durchführt. Eine über die Leitung gelieferte RTSP-Anfrage, deren Methodentoken mit einem nachgestellten Steuerzeichen endet — beispielsweise `PLAY\x00` oder `PLAY\r`, unmittelbar vor dem trennenden Leerzeichen — wird von `RtspDecoder` als vollständig erfolgreiche PLAY-Anfrage decodiert, wobei `decoderResult().isSuccess() == true` und `request.method() == RtspMethods.PLAY` gilt (dieselbe Objektreferenz wie das zwischengespeicherte Singleton). Die Anwendungsschicht kann dies nicht von einer sauberen `PLAY`-Anfrage unterscheiden.
Dies ist dieselbe Ursache wie bei #16723 und #16971, in einem verwandten Modul, auf das diese Fixes keine Auswirkung hatten. Der Fix für `HttpMethod` härtete `HttpMethod.valueOf()` direkt ab, aber `RtspMethods.valueOf()` verfügt über einen eigenen, unabhängigen Aufruf von `checkNonEmptyAfterTrim()`, der vor der Cache-Suche ausgeführt wird — was bedeutet, dass ein Token mit nachgestelltem Steuerzeichen den Cache erreicht, bevor der gehärtete `HttpMethod`-Konstruktor es überhaupt sieht.
### Reproduktion
Minimalistische Reproduktion auf Leitungsebene
Senden Sie die folgenden Rohbytes an einen beliebigen Netty-basierten RTSP-Server unter Verwendung von R
VulDB is the best source for vulnerability data and more expert information about this specific topic.