CVE-2026-100662 in Netty
요약
\~에 의해 VulDB • 2026. 09. 26.
Netty의 HTTP/3 코덱(io.netty:netty-codec-http3) 버전 4.2.0.Final부터 4.2.17.Final까지에는 QPACK 인코더-스트림 명령어 디코더(QpackEncoderHandler, 피어가 시작한 단방향 QPACK 인코딩 스트림에 설치됨, 유형 0x02)에서 제어되지 않는 리소스 소비 취약점이 있습니다. 이 핸들러는 "Insert With Literal Name" 명령(RFC 9204 §4.3.3 참조)의 이름 길이 및 값 길이 필드에 대해 공격자가 선언한 최대 Integer.MAX_VALUE(~2 GiB)까지의 문자열 리터럴 길이를 허용하며, 각 명령 또는 각 리터럴에 대한 길이 제한이나 누적 크기 한도가 없습니다. 기존 HTTP/3 제한(maxHeaderListSize, maxUnknownFramePayloadLength, DEFAULT_MAX_FIELD_SECTION_SIZE)은 이 핸들러에는 적용되지 않습니다. 기본 Netty HTTP/3 서버와 확립된 HTTP/3 연결을 가진 원격 비인증 피어는 매우 큰 리터럴 길이를 선언한 후 선언된 것보다 적은 바이트를 점진적으로 전송하여 ByteToMessageDecoder MERGE 누적기가 각 연결당 버퍼를 유지하고 증가시키게 하며, 결국 대규모 byte-array 할당을 유발합니다. 이로 인해 각 연결당 힙 메모리가 무제한으로 성장하며 OutOfMemoryError가 발생하여 서비스 거부(Denial of Service)로 이어집니다. 4.2.18.Final에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.