CVE-2026-100663

Nome do Software Vulnerável e Versões Afetadas netty-codec-http3 versões 4.2.2.Final through 4.2.17.Final

Description O codec HTTP/3 falha ao processar adequadamente os alvos de solicitação em forma de autoridade do HTTP/1 CONNECT durante a conversão de mensagens HTTP/1 para HTTP/3 na função toHttp3Headers de HttpConversionUtil. O alvo em forma de autoridade é analisado como uma URI, fazendo com que o host seja emitido como :scheme, o :path seja definido como / e o cabeçalho Host do HTTP/1 seja usado como :authority. Se o cabeçalho Host estiver ausente, o alvo CONNECT é descartado. Em cenários que envolvem um proxy ou gateway HTTP/1-para-HTTP/3 baseado em Netty, um cliente remoto pode fornecer um cabeçalho Host diferente do alvo da solicitação. Isso resulta em uma solicitação HTTP/3 CONNECT malformada onde a :authority do túnel é controlada pelo invasor, podendo ignorar listas de permissão de túneis, políticas de saída, seleção de backend ou controles de auditoria que validam o alvo da solicitação antes do encaminhamento.

Recommendations Atualize o netty-codec-http3 para a versão 4.2.18.Final.