CVE-2026-100663 in Netty
요약
\~에 의해 VulDB • 2026. 09. 26.
Netty의 HTTP/3 코덱(io.netty:netty-codec-http3)은 버전 4.2.2.Final부터 4.2.17.Final까지 HttpConversionUtil.toHttp3Headers에서 HTTP/1 메시지를 HTTP/3로 변환할 때 HTTP/1 CONNECT authority-form request-targets에 대한 특수 처리를 수행하지 않습니다. authority-form 타겟(예: "CONNECT trusted.example:443")은 URI로 파싱되므로, 그 호스트는 :scheme로 방출되고, :path는 "/"로 설정되며, HTTP/1 Host 헤더가 :authority로 사용됩니다. Host 헤더가 없는 경우 CONNECT 타겟이 삭제됩니다. Netty 기반의 HTTP/1-to-HTTP/3 프록시 또는 게이트웨이에서 원격 클라이언트는 request-target과 다른 authority를 이름으로 하는 Host 헤서를 가진 CONNECT 요청을 전송하여 공격자가 제어할 수 있는 tunnel :authority를 갖는 잘못된 형식의 HTTP/3 CONNECT를 생성할 수 있습니다. 이로 인해 HTTP/1 CONNECT request-target을 전달 전에 검증하는 터널 허용 목록,_egress 정책, 백엔드 선택 또는 감사 컨트롤을 우회할 수 있습니다. 이 문제는 4.2.18.Final에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.