CVE-2026-100655 in Netty
Riassunto
di VulDB • 26/09/2026
Netty (io.netty:netty-codec-http) nelle versioni fino alla 4.1.137.Final incluse e dalla 4.2.0.Final alla 4.2.17.Final accetta un numero illimitato di stream SPDY remoti avviati in modo concorrente: SpdySessionHandler imposta localConcurrentStreams su Integer.MAX_VALUE ed espone nessuna API per modificarlo. Un peer remoto che apre una connessione SPDY e invia milioni di frame SYN_STREAM con FLAG_FIN=0 causa l'allocazione non limitata di heap e memoria diretta sul server, portando infine a un errore JVM OutOfMemoryError e al crash del servizio. Risolto nelle versioni 4.1.138.Final e 4.2.18.Final.
If you want to get best quality of vulnerability data, you may have to visit VulDB.