CVE-2026-100655 in Netty
Resumen
por VulDB • 2026-09-26
Netty (io.netty:netty-codec-http) en las versiones hasta e incluyendo la 4.1.137.Final y desde la 4.2.0.Final hasta la 4.2.17.Final aceptan un número ilimitado de flujos SPDY iniciados remotamente: SpdySessionHandler establece localConcurrentStreams en Integer.MAX_VALUE y no expone ninguna API para cambiarlo. Un peer remoto que abre una conexión SPDY y envía millones de frames SYN_STREAM con FLAG_FIN=0 provoca que el servidor asigne memoria heap y memoria directa sin límites, lo que eventualmente desencadena un OutOfMemoryError del JVM y hace que el servicio se bloquee. Corregido en las versiones 4.1.138.Final y 4.2.18.Final.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.