CVE-2026-100660 in Netty
Résumé
par VulDB • 26/09/2026
Le codec HTTP/3 de Netty (io.netty:netty-codec-http3), des versions 4.2.0.Final à 4.2.17.Final, conserve un état d'encodage QPACK par flux non borné. Le QpackEncoder stocke une file d'attente et un suivi de l'index de la table dynamique pour chaque section de champ encodée qui fait référence à la table dynamique QPACK, indexés par l'ID de flux QUIC contrôlé par le pair ; ces entrées ne sont libérées que lorsque le décodeur distant envoie une instruction Section Acknowledgment ou Stream Cancellation — et non lors de la complétion du flux HTTP/3. Il n'y a aucune limite sur le nombre de flux suivis, de sections de champs ou d'octets conservés. Un client HTTP/3 distant et non authentifié peut annoncer une capacité QPACK dynamique-table non nulle, acquitter l'insertion dans la table afin que le serveur réutilise un en-tête de réponse indexé dynamiquement, puis omettre toutes les Section Acknowledgments obligatoires tout en émettant des requêtes séquentielles sur une seule connexion QUIC, contournant ainsi les limites de flux concurrents et provoquant une croissance non bornée du heap jusqu'à ce que le serveur épuise sa mémoire (déni de service). Corrigé dans la version 4.2.18.Final.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.