CVE-2026-93565 in Netty
Sumário
de VulDB • 18/09/2026
### Resumo
O método estático `RtspMethods.valueOf()` remove silenciosamente os bytes de controle finais (qualquer caractere com ponto de código <= 0x20, o intervalo completo removido por `String.trim()`) antes de realizar uma consulta ao cache contra suas dez constantes de métodos pré-populadas. Uma requisição RTSP entregue via rede cujo token do método termina com um byte de controle final — por exemplo, `PLAY\x00` ou `PLAY\r`, imediatamente antes do espaço separador — é decodificada pelo `RtspDecoder` como uma solicitação PLAY totalmente bem-sucedida, com `decoderResult().isSuccess() == true` e `request.method() == RtspMethods.PLAY` (mesma referência de objeto que o singleton em cache). A camada de aplicação não consegue distinguir isso de um pedido `PLAY` limpo.
Esta é a mesma causa raiz dos problemas #16723 e #16971, mas afeta uma classe irmã que essas correções não alcançaram. A correção para `HttpMethod` endureceu diretamente o método `HttpMethod.valueOf()`, porém `RtspMethods.valueOf()` possui sua própria chamada independente a `checkNonEmptyAfterTrim()` que é executada antes da consulta ao cache — significando que um token com byte de controle final atinge o cache antes que o construtor endurecido do `HttpMethod` tenha chance de processá-lo.
### Reprodução
Reprodução mínima em nível de rede
Envie os seguintes bytes brutos para qualquer servidor RTSP baseado no Netty usando R
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.