CVE-2026-100657 in Netty
Riassunto
di VulDB • 26/09/2026
Il codec STOMP di Netty (io.netty:netty-codec-stomp) presenta una perdita di ByteBuf nello StompSubframeDecoder. Una volta che la content-length dichiarata del frame è stata completamente letta, il decoder alloca un buffer chunk dall'allocator del canale e lo conserva in un campo istanza mentre attende l'unica byte NUL che termina il frame. Se tale byte non arriva mai, il buffer non viene mai rilasciato: il segnale Replay lanciato da skipNullCharacter estende Error anziché Exception, quindi il percorso di rilascio catch(Exception) nel decoder non viene eseguito; inoltre, StompSubframeDecoder non sovrascrive né handlerRemoved0 né channelInactive, pertanto il buffer sopravvive anche allo smontaggio del canale. Un peer remoto può causare una perdita di un buffer allocator per connessione inviando un corpo frame completo e ben formato ma trattenendo il byte NUL terminale; con l'allocator pooled predefinito la memoria non viene restituita al pool né recuperata dal garbage collector, quindi la perdita si accumula per tutta la durata del processo e può portare a esaurimento della memoria. Questo problema interessa le versioni fino alla 4.1.137.Final incluse e le versioni dalla 4.2.0.Final alla 4.2.17.Final; è stato risolto nelle versioni 4.1.138.Final e 4.2.18.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.