CVE-2026-100655 in Netty
要約
〜によって VulDB • 2026年09月26日
Netty (io.netty:netty-codec-http) のバージョン 4.1.137.Final およびそれ以前、および 4.2.0.Final から 4.2.17.Final までは、無制限の数の同時接続によるリモート開始 SPDY ストリームを受け入れます。SpdySessionHandler は localConcurrentStreams を Integer.MAX_VALUE にデフォルト設定しており、これを変更するための API が公開されていません。SPDY コネクションを開き、FLAG_FIN=0 の SYN_STREAM フレームを数百万件送信するリモートピアにより、サーバーは無制限のヒープおよびダイレクトメモリを割り当てることになり、最終的に JVM OutOfMemoryError を引き起こしてサービスがクラッシュします。この問題は 4.1.138.Final および 4.2.18.Final で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.