CVE-2026-100658 in Netty
Sumário
de VulDB • 26/09/2026
O Netty (io.netty:netty-codec-http) contém uma fila por conexão sem limite no WebSocketServerExtensionHandler. O manipulador oferece uma entrada para sua fila de extensões válidas, específica do canal, a cada HttpRequest recebida, mas remove uma entrada apenas quando o aplicativo grava um HttpResponse, e o tamanho da fila nunca é limitado. Um peer remoto não autenticado pode usar pipelining HTTP/1.1 para enviar solicitações mais rapidamente do que o aplicativo produz respostas — incluindo requisições HTTP simples de upgrade para qualquer caminho — fazendo com que a fila cresça sem limite até que a JVM esgote a memória heap e termine com OutOfMemoryError. Como o manipulador afetado é a classe base do WebSocketServerCompressionHandler, qualquer servidor que ative permessage-deflate fica exposto em sua porta HTTP simples antes de qualquer upgrade para WebSocket ser concluído e antes de qualquer autenticação em nível de aplicativo. As versões afetadas são 4.1.88.Final até 4.1.137.Final e 4.2.0.Final até 4.2.17.Final; a questão foi corrigida nas versões 4.1.138.Final e 4.2.18.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.