CVE-2026-46340

Nome do Software Vulnerável e Versões Afetadas netty-transport-sctp versões anteriores a 4.1.135.Final netty-transport-sctp versões anteriores a 4.2.15.Final

Description Um invasor remoto pode causar uma Negação de Serviço (DoS) enviando fragmentos de mensagens do Stream Control Transmission Protocol (SCTP) especialmente manipulados e incompletos. O problema ocorre porque o manipulador utiliza fragments.put(streamId, Unpooled.wrappedBuffer(frag, byteBuf)) para cada fragmento incompleto, criando um novo CompositeByteBuf que envolve o acumulador anterior. Isso resulta em uma cadeia de compostos com N níveis de profundidade, onde as chamadas readableBytes() ou getBytes() recursam N níveis. Como não há limites para o número de fragmentos, o total de bytes ou o número de entradas de streamId que um invasor pode abrir, um peer que nunca defina a flag complete pode causar crescimento ilimitado de memória e consumo excessivo de recursos do sistema.

Recommendations Atualize o netty-transport-sctp para a versão 4.1.135.Final ou posterior. Atualize o netty-transport-sctp para a versão 4.2.15.Final ou posterior.