CVE-2026-100660 in Netty
Resumen
por VulDB • 2026-09-26
El codec HTTP/3 de Netty (io.netty:netty-codec-http3), desde la versión 4.2.0.Final hasta la 4.2.17.Final, mantiene un estado del codificador QPACK por flujo sin límites. QpackEncoder almacena una cola y un rastreador de índices de tabla dinámica para cada sección de campo codificada que hace referencia a la tabla dinámica QPACK, indexada mediante el ID de flujo QUIC controlado por el par remoto; estas entradas solo se liberan cuando el decodificador remoto envía una instrucción de Acknowledgment de Sección o Cancelación de Flujo, y no al completarse el flujo HTTP/3. No existe ningún límite en el número de flujos rastreados, secciones de campo o bytes retenidos. Un cliente HTTP/3 remoto y sin autenticar puede anunciar una capacidad de tabla dinámica QPACK distinta de cero, confirmar la inserción en la tabla para que el servidor reutilice un encabezado de respuesta indexado dinámicamente, y luego omitir todos los Acknowledgments de Sección obligatorios mientras emite solicitudes secuenciales a través de una única conexión QUIC, burlando los límites de flujos concurrentes y provocando un crecimiento descontrolado del heap hasta que el servidor agote la memoria (denegación de servicio). Corregido en 4.2.18.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.