CVE-2026-75596 in Netty
Сводка
по VulDB • 21.08.2026
Netty — это асинхронный фреймворк для сетевых приложений, основанный на событиях (event-driven). До версий 4.1.137.Final и 4.2.17.Final конструкторы по умолчанию io.netty.handler.ssl.SniHandler используют путь агрегации ClientHello до завершения рукопожатия в файле handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java, а именно в методе io.netty.handler.ssl.SslClientHelloHandler#decode, где вызовы handshakeBuffer.clear() и writeBytes() приводят к повторному копированию всех ранее полученных байтов тела для каждого дополнительного TLS-записи. Неаутентифицированный удаленный узел может указать большой ClientHello и передать его тело в виде тысяч мелких записей, что вызывает квадратичную нагрузку на процессор (quadratic CPU work) внутри event loop до завершения рукопожатия TLS и ухудшает обработку TLS для других клиентов. Эта проблема исправлена в версиях 4.1.137.Final и 4.2.17.Final.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.