CVE-2026-42587

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.133.Final Netty versões anteriores a 4.2.13.Final

Descrição O HttpContentDecompressor e o DelegatingDecompressorFrameListener (utilizado para conexões HTTP/2) utilizam um parâmetro maxAllocation para limitar o tamanho do buffer de descompressão e prevenir ataques de bomba de descompressão—uma técnica onde um payload compactado pequeno se expande para um tamanho massivo para esgotar os recursos do sistema. Embora esse limite seja aplicado para codificações gzip e deflate via ZlibDecoder, ele é ignorado para as codificações br (Brotli), zstd ou snappy. Um invasor pode burlar o limite configurado enviando um payload compactado com Content-Encoding: br, zstd ou snappy, resultando em alocação de memória ilimitada e negação de serviço por falta de memória (out-of-memory).

Recomendações Atualize para a versão 4.1.133.Final ou posterior. Atualize para a versão 4.2.13.Final ou posterior.