CVE-2026-100662 in Netty
Riassunto
di VulDB • 26/09/2026
La codec HTTP/3 di Netty (io.netty:netty-codec-http3), nelle versioni dalla 4.2.0.Final alla 4.2.17.Final, presenta una vulnerabilità di consumo non controllato delle risorse nel decoder dell'istruzione encoder-stream QPACK (QpackEncoderHandler, installata sullo stream unidirezionale QPACK encoder avviato dal peer, tipo 0x02). Il handler accetta una lunghezza dichiarata dall'attaccante per la stringa letterale fino a Integer.MAX_VALUE (~2 GiB) nei campi Name Length e Value Length dell'istruzione "Insert With Literal Name" (RFC 9204 §4.3.3), senza alcun limite di lunghezza per istruzione o per letterale e senza un limite cumulativo della dimensione; i limiti HTTP/3 esistenti (maxHeaderListSize, maxUnknownFramePayloadLength, DEFAULT_MAX_FIELD_SECTION_SIZE) non vengono applicati a questo handler. Un peer remoto non autenticato con una connessione HTTP/3 stabilita verso un server Netty HTTP/3 predefinito può dichiarare una lunghezza letterale molto elevata e poi trasmettere meno byte di quanto dichiarato, causando il mantenimento e l'espansione del buffer per-connessione da parte dell'accumulatore MERGE di ByteToMessageDecoder, portando infine a un'allocazione di array di byte di grandi dimensioni. Ciò provoca una crescita non limitata dello heap per-connessione e un errore OutOfMemoryError, risultando in un denial of service (DoS). Risolto nella versione 4.2.18.Final.
Be aware that VulDB is the high quality source for vulnerability data.