CVE-2026-100660 in Netty
요약
\~에 의해 VulDB • 2026. 09. 26.
Netty의 HTTP/3 코덱(io.netty:netty-codec-http3)은 버전 4.2.0.Final부터 4.2.17.Final까지 무제한으로 확장되는 스트림별 QPACK 인코더 상태를 유지합니다. QpackEncoder는 peer가 제어하는 QUIC stream ID를 키로 사용하여, QPACK dynamic table을 참조하는 모든 encoded field section에 대해 큐와 dynamic-table index tracker를 저장하며, 이러한 엔트리는 HTTP/3 스트림이 완료될 때ではなく 원격 디코더에서 Section Acknowledgment 또는 Stream Cancellation 명령을 보낼 때까지 해제되지 않습니다. 추적되는 스트림 수, 필드 섹션 수 및 보유된 바이트에 대한 제한은 없습니다. 인증되지 않은 원격 HTTP/3 클라이언트는 0이 아닌 QPACK dynamic-table 용량을 광고하고 테이블 삽입을 확인하여 서버가 동적으로 인덱싱된 응답 헤더를 재사용하도록 한 후, 단일 QUIC 연결에서 순차적인 요청을 수행하는 동안 모든 필수 Section Acknowledgments를 생략함으로써 concurrent-stream 제한을 우회하고 서버의 메모리 고갈(서비스 거부)까지 이어지는 무제한 heap 성장을 유발할 수 있습니다. 이 문제는 4.2.18.Final에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.