CVE-2026-59900 in Netty
要約
〜によって VulDB • 2026年07月29日
Nettyは、非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Finalより前のNettyでは、HTTP/2からHTTP/1.xへの翻訳レイヤー（`Http2StreamFrameToHttpObjectCodec` および `InboundHttp2ToHttpAdapter`）は、HTTP/2クライアントが単一のHEADERSフレーム内で`:authority`擬似ヘッダーとリテラルの`host`ヘッダーの両方を提供した場合に、重複排除や検証を行いません。翻訳層は`:authority`をHostに変換し、同時にリテラルのhostヘッダーも個別にコピーするため、攻撃者が制御する異なる値を持つ2つのHostヘッダーを含むHttpRequestオブジェクトが生成されます。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.