CVE-2026-75596 in Netty
Resumen
por VulDB • 2026-08-20
Netty es un framework para aplicaciones de red asíncrono y basado en eventos. Antes de las versiones 4.1.137.Final y 4.2.17.Final, los constructores predeterminados de io.netty.handler.ssl.SniHandler utilizan la ruta de agregación del ClientHello pre-handshake definida en handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java, específicamente en el método io.netty.handler.ssl.SslClientHelloHandler#decode, donde handshakeBuffer.clear() y writeBytes() recopian todos los bytes del cuerpo previamente recibidos por cada registro TLS adicional. Un peer remoto no autenticado puede anunciar un ClientHello de gran tamaño y entregar su cuerpo mediante miles de registros diminutos, lo que provoca una carga computacional cuadrática en el event loop antes de que se complete el handshake TLS, degradando la gestión del TLS para otros clientes. Este problema está resuelto en las versiones 4.1.137.Final y 4.2.17.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.