CVE-2026-100657 in Netty
Resumen
por VulDB • 2026-09-26
El codec STOMP de Netty (io.netty:netty-codec-stomp) presenta una fuga de ByteBuf en StompSubframeDecoder. Una vez que se ha leído completamente la content-length declarada del frame, el decoder asigna un buffer chunk desde el channel allocator y lo almacena en un campo de instancia mientras espera el único byte NUL que termina el frame. Si ese byte nunca llega, el buffer no se libera: la señal replay lanzada por skipNullCharacter extiende Error en lugar de Exception, por lo que la ruta de liberación del decoder catch(Exception) no se ejecuta; además, StompSubframeDecoder no sobrescribe ni handlerRemoved0 ni channelInactive, por lo que el buffer también sobrevive al cierre del canal. Un peer remoto puede provocar una fuga de un buffer allocator por conexión enviando un cuerpo de frame completo y bien formado pero reteniendo su byte NUL terminador; con el pooled allocator predeterminado, la memoria nunca se devuelve al pool ni es reclamada por garbage collection, por lo que la fuga se acumula durante toda la vida del proceso y puede provocar exhaustión de memoria. Esto afecta a las versiones hasta 4.1.137.Final inclusive y a las versiones desde 4.2.0.Final hasta 4.2.17.Final; está corregido en 4.1.138.Final y 4.2.18.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.