CVE-2026-42585

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.2.13.Final Netty versões anteriores a 4.1.133.Final

Description O Netty analisa incorretamente cabeçalhos Transfer-Encoding malformados, o que pode levar a ataques de request smuggling (contrabando de requisições). Especificamente, o framework marca incorretamente uma requisição como chunked quando o cabeçalho Transfer-Encoding: chunked, identity está presente. Isso ocorre porque o servidor não responde com o código de status 400 (Bad Request) e não fecha a conexão quando a codificação de transferência chunked não é a codificação final, conforme exigido pela RFC 9112. Este problema pode ser explorado quando o Netty está posicionado atrás de um proxy que encaminha requisições contendo este cabeçalho malformado, mas prefere o Content-Length, permitindo que um invasor injete requisições HTTP arbitrárias dentro do corpo de uma requisição.

Recommendations Atualizar para a versão 4.2.13.Final. Atualizar para a versão 4.1.133.Final.