CVE-2026-93572

Nome do Software Vulnerável e Versões Afetadas Netty (versões afetadas não especificadas)

Descrição Uma falha existe no componente RedisArrayAggregator do Netty. Um invasor remoto pode causar a exaustão da memória heap e um Denial of Service (DoS) ao enviar cabeçalhos de array Redis (RESP) aninhados especialmente manipulados. Embora os limites maxElements e maxNestedArrayDepth tenham sido implementados, eles são verificados de forma independente e o alocador permanece ávido. Isso permite que um invasor envie cabeçalhos de array aninhados com comprimento de 1,000,000 até que o limite de aninhamento padrão de 1024 seja atingido, reservando potencialmente mais de 1 bilhão de slots filhos a partir de aproximadamente 12 KB de entrada. Isso ocorre porque a função decodeRedisArrayHeader(...) cria um new ArrayList(length) para cada cabeçalho de array RESP aninhado positivo antes que qualquer elemento filho exista.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.