CVE-2026-100660

Nome do Software Vulnerável e Versões Afetadas netty-codec-http3 versões 4.2.0.Final through 4.2.17.Final

Description O codec HTTP/3 retém o estado do codificador QPACK por fluxo de forma ilimitada. O QpackEncoder armazena uma fila e um rastreador de índice de tabela dinâmica para cada seção de campo codificada que referencia a tabela dinâmica QPACK, indexada pelo ID de fluxo QUIC controlado pelo peer. Essas entradas são liberadas apenas quando o decodificador remoto envia uma instrução de Reconhecimento de Seção (Section Acknowledgment) ou Cancelamento de Fluxo (Stream Cancellation), e não quando o fluxo HTTP/3 é concluído. Como não há limite para o número de fluxos rastreados, seções de campo ou bytes retidos, um cliente HTTP/3 não autenticado pode causar o crescimento ilimitado do heap ao anunciar uma capacidade de tabela dinâmica QPACK diferente de zero e omitir os Reconhecimentos de Seção obrigatórios enquanto emite requisições sequenciais em uma única conexão QUIC. Isso ignora os limites de fluxos simultâneos e pode levar ao esgotamento da memória, resultando em negação de serviço.

Recommendations Atualize o netty-codec-http3 para a versão 4.2.18.Final.