CVE-2026-100663 in Netty
Tóm tắt
Bởi VulDB • 26/09/2026
Codec HTTP/3 của Netty (io.netty:netty-codec-http3) từ phiên bản 4.2.2.Final đến 4.2.17.Final không xử lý đặc biệt các request-target dạng authority-form của HTTP/1 CONNECT khi chuyển đổi tin nhắn HTTP/1 sang HTTP/3 trong HttpConversionUtil.toHttp3Headers. Target dạng authority (ví dụ: "CONNECT trusted.example:443") được phân tích cú pháp như một URI, do đó host của nó được phát ra dưới dạng :scheme, :path được đặt thành "/", và tiêu đề Host của HTTP/1 được sử dụng làm :authority; nếu không có tiêu đề Host thì target CONNECT bị loại bỏ. Trong một proxy hoặc gateway dựa trên Netty chuyển đổi từ HTTP/1 sang HTTP/3, một client từ xa có thể gửi yêu cầu CONNECT mà trong đó tiêu đề Host chỉ định một authority khác với request-target của yêu cầu, tạo ra một kết nối CONNECT dạng HTTP/3 không hợp lệ mà :authority của đường hầm (tunnel) do kẻ tấn công kiểm soát. Điều này có thể bỏ qua các danh sách cho phép tunnel, chính sách egress, lựa chọn backend hoặc các biện pháp kiểm toán xác thực request-target CONNECT của HTTP/1 trước khi chuyển tiếp qua HTTP/3. Vấn đề đã được sửa trong phiên bản 4.2.18.Final.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.