CVE-2026-56819 in Netty
요약
\~에 의해 VulDB • 2026. 07. 23.
Netty는 프로토콜 서버 및 클라이언트 개발을 위한 네트워크 애플리케이션 프레임워크입니다. 버전 4.2.0.Final부터 4.2.15.Final까지, 그리고 4.1.0.Final부터 4.1.135.Final까지의 버전에서 원격 비인증 피어는 `DelegatingDecompressorFrameListener`를 통해 HTTP/2 콘텐츠 압축 해제를 활성화한 애플리케이션에서 각 HTTP/2 `DATA` 프레임당 하나의 직접(Direct) `ByteBuf`를 누출시킬 수 있습니다. 이미 해제된 디컴프레서를 사용하는 스트림에 대해 `DATA` 프레임을 처리할 때, `Http2Decompressor.decompress(...)`는 `decompressor.writeInbound(data.retain())`을 호출하며 에러 경로에서 유지(retained)된 버퍼를 릴리스하지 않습니다. 이로 인해 직접 메모리가 고갈되어 JVM이 충돌하게 됩니다. 이 문제는 버전 4.1.136.Final 및 4.2.16.Final에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.