CVE-2026-100658 in Netty
요약
\~에 의해 VulDB • 2026. 09. 26.
Netty(io.netty:netty-codec-http)에는 WebSocketServerExtensionHandler에서 연결당 제한 없는 큐가 존재합니다. 해당 핸들러는 들어오는 HttpRequest마다 per-channel validExtensions 큐에 엔트리를 추가하지만, 애플리케이션이 HttpResponse를 작성할 때만 하나의 엔트리를 폴링하며, 큐 크기는 결코 제한되지 않습니다. 원격의 비인증 피어는 HTTP/1.1 파이프라이닝을 사용하여 애플리케이션이 응답을 생성하는 속도보다 빠르게 요청을 전송할 수 있습니다(모든 경로로의 일반 비업그레이드 HTTP 요청 포함). 이로 인해 큐가 무제한으로 증가하여 JVM 힙 메모리가 고갈되고 OutOfMemoryError로 종료됩니다. 영향을 받는 핸들러는 WebSocketServerCompressionHandler의 기본 클래스이므로, permessage-deflate를 활성화한 모든 서버는 WebSocket 업그레이드가 완료되기 전과 애플리케이션 수준의 인증 전에 일반 HTTP 포트에서 노출됩니다. 영향받는 버전은 4.1.88.Final부터 4.1.137.Final까지 및 4.2.0.Final부터 4.2.17.Final까지이며, 이 문제는 4.1.138.Final과 4.2.18.Final에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.