CVE-2026-100656 in Netty
Riassunto
di VulDB • 26/09/2026
Netty (io.netty:netty-codec-http) presenta un difetto di crescita illimitata della coda per connessione in HttpServerCodec. Il codec tiene traccia del metodo HTTP di ciascuna richiesta pipelined ancora senza risposta; i primi 32 elementi sono bit-packed all'interno di un singolo long, ma ogni ulteriore elemento viene aggiunto a methodOverflowQueue, una ArrayDeque senza limiti di dimensione e senza percorsi di rifiuto. Un attaccante remoto non autenticato che pipeline le richieste HTTP/1.1 su una singola connessione mentre sospende la lettura dal proprio lato (impedendo l'invio delle risposte) può far crescere questa coda in modo illimitato, causando un aumento illimitato dell'utilizzo della heap e un denial of service. Le versioni colpite sono dalla 4.2.0.Final alla 4.2.17.Final e tutte le release fino a includere la 4.1.137.Final; il problema è risolto nelle versioni 4.2.18.Final e 4.1.138.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.