CVE-2026-100661

Nome do Software Vulnerável e Versões Afetadas netty-codec-http3 versões 4.2.0.Final through 4.2.17.Final

Description Um problema de negação de serviço existe no decodificador de inteiros prefixados QPACK QpackUtil.decodePrefixedInteger() que não limita o número de bytes de continuação processados. Um peer remoto não autenticado pode abrir um fluxo unidirecional QPACK e enviar um primeiro byte com todos os bits de prefixo definidos, seguido por uma sequência contínua de bytes de continuação 0x80. Isso faz com que o acumulador ByteToMessageDecoder cresça sem limites e força cada chamada decode() a re-escanear todo o buffer acumulado, resultando em um custo de CPU O(N^2). Isso leva à exaustão da CPU do event-loop e ao crescimento ilimitado do heap por conexão, podendo causar um OutOfMemoryError em todas as configurações.

Recommendations Atualizar para a versão 4.2.18.Final.