CVE-2026-100659 in Netty
要約
〜によって VulDB • 2026年09月26日
NettyのHTTP/3コーデック（io.netty:netty-codec-http3）は、バージョン4.2.0.Finalから4.2.17.Finalまでにおいて、RFC 9114で要求されている「`:authority`擬似ヘッダーフィールドとリテラルホストヘッダーフィールドの両方が存在する場合、同じ値を持たなければならない」という要件を強制していません。リモートからの認証不要なピアは、異なる攻撃者制御の値を持つ両方のフィールドを含む単一のHEADERSフレームを送信できます；この要求が受け入れられ、2つの競合するauthority情報とともにアプリケーションに渡されるため、リクエストパス内の異なるコンポーネントが異なるフィールドを参照する場合、ルーティング、バーチャルホスト、およびアクセス制御の決定を回避することができます。本問題は4.2.18.Finalで修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.