CVE-2026-100658

Nome do Software Vulnerável e Versões Afetadas Netty (io.netty:netty-codec-http) versões 4.1.88.Final até 4.1.137.Final Netty (io.netty:netty-codec-http) versões 4.2.0.Final até 4.2.17.Final

Description Existe uma fila por conexão sem limite no WebSocketServerExtensionHandler. O manipulador adiciona uma entrada à sua fila validExtensions para cada HttpRequest recebida, mas remove uma entrada apenas quando a aplicação escreve um HttpResponse. Um invasor remoto não autenticado pode utilizar o pipelining de HTTP/1.1—uma técnica onde múltiplas requisições são enviadas por uma única conexão TCP sem aguardar as respostas correspondentes—para enviar requisições mais rapidamente do que a aplicação consegue responder. Isso faz com que a fila cresça indefinidamente, levando ao esgotamento da memória heap da JVM e a um OutOfMemoryError. Como este manipulador é a classe base do WebSocketServerCompressionHandler, servidores que habilitam o permessage-deflate ficam expostos em sua porta HTTP comum antes que as atualizações de WebSocket ou a autenticação em nível de aplicação ocorram.

Recommendations Atualizar para a versão 4.1.138.Final ou posterior. Atualizar para a versão 4.2.18.Final ou posterior.