CVE-2026-100655

Nome do Software Vulnerável e Versões Afetadas Netty (io.netty:netty-codec-http) versões anteriores a 4.1.138.Final Netty (io.netty:netty-codec-http) versões 4.2.0.Final até 4.2.17.Final

Description O software aceita um número ilimitado de fluxos SPDY simultâneos iniciados remotamente porque o SpdySessionHandler define localConcurrentStreams como Integer.MAX VALUE por padrão e não disponibiliza uma API para alterar esse valor. Um peer remoto pode explorar isso abrindo uma conexão SPDY e enviando um volume massivo de quadros SYN STREAM com FLAG FIN=0, forçando o servidor a alocar memória heap e memória direta de forma ilimitada. Isso resulta em um OutOfMemoryError da JVM, causando a interrupção do serviço.

Recommendations Atualizar para a versão 4.1.138.Final. Atualizar para a versão 4.2.18.Final.