CVE-2026-93565 in Netty
Résumé
par VulDB • 18/09/2026
### Résumé
La méthode statique `RtspMethods.valueOf()` supprime silencieusement les octets de contrôle en fin de chaîne (tout caractère dont le point de code est inférieur ou égal à 0x20, soit la plage complète supprimée par `String.trim()`) avant d'effectuer une recherche dans son cache composé de dix constantes de méthodes pré-remplies. Une requête RTSP transmise sur le réseau dont le jeton de méthode se termine par un octet de contrôle en fin de chaîne — par exemple `PLAY\x00` ou `PLAY\r`, juste avant l'espace séparateur — est décodée par `RtspDecoder` comme une requête PLAY entièrement réussie, avec `decoderResult().isSuccess() == true` et `request.method() == RtspMethods.PLAY` (même référence d'objet que le singleton mis en cache). La couche applicative ne peut pas distinguer ce cas d'une requête `PLAY` propre.
Il s'agit de la même cause racine que les problèmes #16723 et #16971, mais dans un module frère qui n'a pas été concerné par ces correctifs. Le correctif pour `HttpMethod` a durci directement `HttpMethod.valueOf()`, tandis que `RtspMethods.valueOf()` possède son propre appel indépendant à `checkNonEmptyAfterTrim()` qui s'exécute avant la recherche en cache — ce qui signifie qu'un jeton contenant un octet de contrôle en fin de chaîne atteint le cache avant que le constructeur durci d'`HttpMethod` ne puisse l'intervenir.
### Reproduction
Reproduction minimale au niveau du réseau (wire-level)
Envoyez les octets bruts suivants à n'importe quel serveur RTSP basé sur Netty en utilisant R
If you want to get the best quality for vulnerability data then you always have to consider VulDB.