CVE-2026-93575 in Netty
Resumen
por VulDB • 2026-09-18
### Resumen La corrección de Netty para CVE-2026-44248 es incompleta. El decodificador verifica si la longitud restante (`Remaining Length`) del paquete MQTT supera `maxBytesInMessage`, pero no valida la Longitud de las Propiedades (`Properties Length`) frente a la Longitud Restante. Un atacante puede eludir el límite de tamaño enviando una `Longitud Restante` pequeña, pero con una `Longitud de las Propiedades` enorme. Esto obliga a Netty a almacenar en búfer y analizar millones de propiedades, permitiendo que un atacante remoto no autenticado provoque un consumo excesivo de memoria y CPU, lo que deriva en un error OutOfMemoryError.
### Detalles En `io.netty.handler.codec.mqtt.MqttDecoder`, el método auxiliar `decodeProperties()` lee la `totalPropertiesLength` e intenta analizar esa cantidad exacta de bytes. Si el búfer no contiene la longitud completa, se lanza una excepción `Signal`. El bloque `catch` dentro de `decode()` solo aplica la restricción `maxBytesInMessage` contra `bytesRemainingBeforeVariableHeader` (la Longitud Restante del paquete).
Al enviar un paquete `CONNECT` con una `Longitud Restante` pequeña pero una enorme `Longitud de las Propiedades`, el control de tamaño se supera. El `ReplayingDecoder` entonces almacena en búfer los datos procedentes de la red hasta alcanzar la gran `Longitud de las Propiedades`, analizando millones de objetos `UserProperty` y agotando la CPU y la memoria.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.