CVE-2026-59902

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.137.Final Netty versões anteriores a 4.2.17.Final

Description O io.netty.handler.codec.sctp.SctpMessageCompletionHandler armazena fragmentos de mensagens SCTP incompletas. Embora existam limites para o número de mensagens incompletas simultâneas (maxIncompleteSctpMessages) e fragmentos por mensagem (maxFragments), não há limite para o tamanho total de bytes armazenados (maxBufferedBytes). Isso permite que um peer não autenticado envie fragmentos SCTP grandes para esgotar a memória do servidor, podendo causar um OutOfMemoryError (um estado em que a Java Virtual Machine não consegue alocar um objeto por falta de memória). Com os limites padrão, um invasor pode consumir aproximadamente 1GB por conexão.

Recommendations Atualize para a versão 4.1.137.Final ou posterior. Atualize para a versão 4.2.17.Final ou posterior.