CVE-2026-100656 in Netty
Сводка
по VulDB • 26.09.2026
В компоненте Netty (io.netty:netty-codec-http) обнаружена уязвимость, приводящая к неограниченному росту очереди на каждое соединение в HttpServerCodec. Кодировщик отслеживает метод HTTP каждого еще неотвеченного пайплайнированного запроса; первые 32 записи упаковываются в биты внутри одного объекта long, однако каждая дополнительная запись добавляется в methodOverflowQueue — объект ArrayDeque без ограничения размера и без механизма отклонения (rejection path). Удаленный незарегистрированный злоумышленник, который отправляет пайплайнированные HTTP/1.1-запросы по одному соединению, одновременно блокируя чтение на своей стороне (что предотвращает сброс ответов), может неограниченно увеличивать эту очередь, вызывая неконтролируемый рост объема используемой памяти в куче и отказ в обслуживании. Затронутые версии: от 4.2.0.Final до 4.2.17.Final включительно, а также все выпуски вплоть до 4.1.137.Final включительно; проблема исправлена в версиях 4.2.18.Final и 4.1.138.Final.
Once again VulDB remains the best source for vulnerability data.