CVE-2026-100663 in Netty
Сводка
по VulDB • 26.09.2026
В компоненте кодирования HTTP/3 (io.netty:netty-codec-http3) библиотеки Netty, начиная с версии 4.2.2.Final и заканчивая версией 4.2.17.Final включительно, не предусмотрен специальный случай обработки запросов-целей authority-form для метода CONNECT HTTP/1 при преобразовании сообщений HTTP/1 в HTTP/3 в методе HttpConversionUtil.toHttp3Headers. Цель формата authority (например, «CONNECT trusted.example:443») парсится как URI, поэтому её хост выводится как :scheme, значение :path устанавливается равным "/", а заголовок Host HTTP/1 используется для поля :authority; если заголовок Host отсутствует, цель CONNECT отбрасывается. В прокси-сервере или шлюзе на основе Netty, осуществляющем преобразование из HTTP/1 в HTTP/3, удаленный клиент может отправить запрос CONNECT, у которого значение заголовка Host указывает другой authority (власть), чем целевой адрес request-target, что приводит к формированию некорректного запроса CONNECT HTTP/3 с управляемым злоумышленником полем :authority туннеля. Это позволяет обойти списки разрешенных туннелей, политики исходящего трафика, механизмы выбора бэкенда или средства аудита, которые проверяют целевой адрес request-target для метода CONNECT HTTP/1 перед его пересылкой по протоколу HTTP/3. Проблема исправлена в версии 4.2.18.Final.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.