CVE-2026-59899 in Netty
要約
〜によって VulDB • 2026年07月29日
Nettyは、非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Final以前では、`HttpContentEncoder`（本番環境のハンドラである`HttpContentCompressor`のスーパークラス）が、攻撃者が制御可能なデータをサイズ制限なしで蓄積するチャネルごとの`ArrayDeque<CharSequence>`型の変数`acceptEncodingQueue`を保持していました。このキューは、着信するHTTPリクエストごとにI/Oスレッド上で埋められ、アプリケーションが後ほど1xx以外のレスポンスを書き込むまで排水されません。これにより、攻撃者がHTTP/1.1パイプライニングを利用して、アプリケーションがレスポンスを生成する速度よりも速く接続にリクエストを送りつけることで、リソース枯渇の脆弱性が生じます。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.