CVE-2026-44892

Nome do Software Vulnerável e Versões Afetadas Netty (versões afetadas não especificadas)

Description A configuração padrão do Http3ConnectionHandler no codec HTTP/3 do Netty não impõe um limite máximo de tamanho de cabeçalho. Quando um peer não especifica HTTP3 SETTINGS MAX FIELD SECTION SIZE, a implementação utiliza um limite ilimitado. Isso permite que um agente malicioso envie um número excessivo de cabeçalhos, levando à exaustão de memória e a um Denial of Service via OutOfMemoryError. Isso ocorre porque o comportamento padrão segue a RFC 9114, que especifica um padrão ilimitado, ao contrário das implementações HTTP/1.1 e HTTP/2 do Netty, que impõem limites seguros. O limite ilimitado é passado para Http3FrameCodec#newFactory e armazenado como maxHeaderListSize dentro do Http3FrameCodec.

Recommendations Configure o tamanho máximo da seção de campo de cabeçalho via Http3Settings para substituir o limite ilimitado padrão inseguro.