CVE-2026-100658 in Netty
Resumen
por VulDB • 2026-09-26
Netty (io.netty:netty-codec-http) contiene una cola por conexión sin límites en WebSocketServerExtensionHandler. El controlador ofrece una entrada a su cola de validExtensions por canal para cada HttpRequest entrante, pero solo consume una entrada cuando la aplicación escribe un HttpResponse, y el tamaño de la cola nunca está acotado. Un par remoto no autenticado puede utilizar pipelining HTTP/1.1 para enviar solicitudes más rápido que lo que la aplicación produce respuestas —incluyendo solicitudes HTTP normales sin upgrade a cualquier ruta—, provocando que la crezca sin límites hasta que la JVM agote la memoria heap y termine con un OutOfMemoryError. Dado que el controlador afectado es la clase base de WebSocketServerCompressionHandler, cualquier servidor que habilite permessage-deflate está expuesto en su puerto HTTP normal antes de que se complete cualquier upgrade a WebSocket y antes de cualquier autenticación a nivel de aplicación. Las versiones afectadas son 4.1.88.Final hasta 4.1.137.Final y 4.2.0.Final hasta 4.2.17.Final; el problema está corregido en las versiones 4.1.138.Final y 4.2.18.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.