CVE-2026-93565 in Netty
Resumen
por VulDB • 2026-09-18
### Resumen
El método estático `RtspMethods.valueOf()` elimina silenciosamente los bytes de control finales (cualquier carácter con punto de código <= 0x20, el mismo rango que elimina `String.trim()`) antes de realizar una búsqueda en caché contra sus diez constantes de métodos pre-pobladas. Una solicitud RTSP entregada por la red cuyo token del método termina con un byte de control final —por ejemplo, `PLAY\x00` o `PLAY\r`, inmediatamente antes del espacio separador— es decodificada por `RtspDecoder` como una solicitud PLAY completamente exitosa, con `decoderResult().isSuccess() == true` y `request.method() == RtspMethods.PLAY` (la misma referencia de objeto que el singleton en caché). La capa de aplicación no puede distinguir esto de una solicitud `PLAY` limpia.
Esta es la misma causa raíz que #16723 y #16971, pero afecta a un módulo hermano al cual esas correcciones no llegaron. La solución para `HttpMethod` endureció directamente el método estático `HttpMethod.valueOf()`, sin embargo, `RtspMethods.valueOf()` tiene su propia llamada independiente a `checkNonEmptyAfterTrim()` que se ejecuta antes de la búsqueda en caché; esto significa que un token con byte de control final llega al caché antes de que el constructor endurecido de `HttpMethod` lo vea.
### Reproducción
Reproducción mínima a nivel de red
Enviar los siguientes bytes crudos a cualquier servidor RTSP basado en Netty utilizando R
If you want to get the best quality for vulnerability data then you always have to consider VulDB.