CVE-2026-75596

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.137.Final Netty versões anteriores a 4.2.17.Final

Descrição Um peer remoto não autenticado pode causar um trabalho de CPU quadrático no event loop ao anunciar um ClientHello grande e entregar seu corpo em milhares de registros minúsculos. Isso ocorre porque os construtores padrão do io.netty.handler.ssl.SniHandler utilizam um caminho de agregação de ClientHello pré-handshake na função decode() de io.netty.handler.ssl.SslClientHelloHandler, onde handshakeBuffer.clear() e writeBytes() recopiam todos os bytes do corpo recebidos anteriormente para cada registro TLS adicional. Esse comportamento pode degradar o processamento de TLS para outros clientes antes que o handshake TLS seja concluído.

Recomendações Atualize para a versão 4.1.137.Final ou posterior. Atualize para a versão 4.2.17.Final ou posterior.