CVE-2026-100662
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Kodek HTTP/3 Netty (io.netty:netty-codec-http3) w wersjach od 4.2.0.Final do 4.2.17.Final zawiera lukę w zabezpieczeniach umożliwiającą niekontrolowane zużycie zasobów w dekoderze instrukcji QPACK encoder-stream (QpackEncoderHandler, zainstalowany w jednokierunkowym strumieniu kodera QPACK inicjowanym przez peera, wpisz 0x02). Procedura obsługi akceptuje zadeklarowaną przez atakującego długość literału ciągu do Integer.MAX_VALUE (~2 GiB) dla pól Nazwa Długość i Długość Wartości instrukcji „Wstaw z literalną nazwą” (RFC 9204 §4.3.3), bez ograniczenia długości przypadającej na instrukcję lub na literał oraz bez limitu rozmiaru kumulacji; istniejące limity HTTP/3 (maxHeaderListSize, maxUnknownFramePayloadLength, DEFAULT_MAX_FIELD_SECTION_SIZE) nie są stosowane do tego modułu obsługi. Zdalny, nieuwierzytelniony element równorzędny z nawiązanym połączeniem HTTP/3 z domyślnym serwerem Netty HTTP/3 może zadeklarować bardzo dużą długość literału, a następnie przekazać mniej bajtów niż zadeklarowane, powodując, że kumulator MERGE ByteToMessageDecoder zachowuje i zwiększa bufor na połączenie, co ostatecznie wyzwala alokację dużej tablicy bajtów. Prowadzi to do nieograniczonego wzrostu sterty na każde połączenie i błędu OutOfMemoryError, co skutkuje odmową usługi. Naprawiono w wersji 4.2.18.Final.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org