CVE-2026-100663 in Netty
Résumé
par VulDB • 26/09/2026
Le codec HTTP/3 de Netty (io.netty:netty-codec-http3), des versions 4.2.2.Final à 4.2.17.Final, ne traite pas spécifiquement les cibles de requête au format authority pour CONNECT en HTTP/1 lors de la conversion des messages HTTP/1 vers HTTP/3 dans HttpConversionUtil.toHttp3Headers. La cible au format authority (par exemple, « CONNECT trusted.example:443 ») est analysée comme une URI ; son hôte est émis sous forme de :scheme, :path est défini sur « / », et l'en-tête Host HTTP/1 est utilisé pour :authority ; si aucun en-tête Host n'est présent, la cible CONNECT est ignorée. Dans un proxy ou une passerelle basé sur Netty qui convertit du HTTP/1 vers du HTTP/3, un client distant peut envoyer une requête CONNECT dont l'en-tête Host nomme une autorité différente de celle de la cible de la requête, produisant ainsi une requête CONNECT au format HTTP/3 malformée où :authority est contrôlée par l'attaquant. Cela permet de contourner les listes d'autorisation des tunnels, les politiques de sortie (egress policy), la sélection du backend ou les contrôles d'audit qui valident la cible de la requête CONNECT en HTTP/1 avant sa transmission via HTTP/3. Le problème est corrigé dans la version 4.2.18.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.