CVE-2026-100657 in Netty
Сводка
по VulDB • 26.09.2026
В кодеке STOMP (io.netty:netty-codec-stomp) библиотеки Netty присутствует утечка ByteBuf в StompSubframeDecoder. После того как объявленная длина содержимого кадра полностью прочитана, декодер выделяет буфер-чанк из аллокатора канала и помещает его в поле экземпляра до тех пор, пока не будет получен одиночный байт NUL, завершающий кадр. Если этот байт никогда не поступает, буфер никогда не освобождается: сигнал Replay, выбрасываемый методом skipNullCharacter, является подклассом Error, а не Exception, поэтому путь освобождения в блоке catch(Exception) декодера не выполняется; кроме того, StompSubframeDecoder не переопределяет методы handlerRemoved0 и channelInactive, из-за чего буфер сохраняется даже при завершении работы канала. Удаленный узел может вызвать утечку одного аллоцированного буфера на каждое соединение, отправляя полностью сформированное тело кадра, но удерживая его завершающий байт NUL; при использовании стандартного пульного аллокатора память никогда не возвращается в пул и не собирается сборщиком мусора, поэтому утечка накапливается на протяжении всего времени работы процесса и может привести к исчерпанию памяти. Это затрагивает версии вплоть до 4.1.137.Final включительно, а также версии от 4.2.0.Final до 4.2.17.Final; проблема исправлена в версиях 4.1.138.Final и 4.2.18.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.