CVE-2026-100660

Netty-nin 4.2.0.Final versiyasından 4.2.17.Final versiyasına qədər olan HTTP/3 kodeki (io.netty:netty-codec-http3), hər axın üçün məhdudiyyətsiz QPACK enkoder vəziyyətini saxlayır. QpackEncoder, QPACK dinamik cədvəlinə istinad edən hər bir kodlaşdırılmış sahə bölməsi üçün, qarşı tərəf tərəfindən idarə olunan QUIC axın ID-sinə əsaslanan növbə və dinamik cədvəl indeks izləyicisini saxlayır və bu yazılar yalnız uzaq dekoder "Section Acknowledgment" və ya "Stream Cancellation" təlimatı göndərdikdə buraxılır — HTTP/3 axını tamamlandıqda yox. İzlənilən axınların, sahə bölmələrinin və ya saxlanılan baytların sayına heç bir məhdudiyyət yoxdur. Uzaqdakı autentifikasiya olunmamış HTTP/3 kliyenti sıfırdan fərqli QPACK dinamik cədvəl tutumu elan edə bilər, cədvələ daxiletməni təsdiqləyərək serverin dinamik indeksli cavab başlığını yenidən istifadə etməsini təmin edə bilər və sonra tək bir QUIC bağlantısı üzərində ardıcıl sorğular göndərərkən bütün məcburi "Section Acknowledgments" bildirişlərini ötürə bilər. Bu, eyni vaxtda aktiv olan axın məhdudiyyətlərindən yan keçərək, server yaddaşı tükənənə qədər məhdudiyyətsiz heap artımına səbəb olur (xidmətdən imtina). Problem 4.2.18.Final versiyasında düzəldilib.