CVE-2026-100661

Netty-nin HTTP/3 kodeki (io.netty:netty-codec-http3) 4.2.0.Final versiyasından 4.2.17.Final versiyasına qədər olan hissələrdə QPACK prefiksli tam ədəd dekoderində (QpackUtil.decodePrefixedInteger) xidmətdən imtina (DoS) zəifliyi mövcuddur; bu dekoder emal edəcəyi davamlı baytların sayını məhdudlaşdırmır. Uzaqdakı autentifikasiya olunmamış tərəf QPACK birtərəfli axınını (tip 0x02 enkoder və ya 0x03 dekoder) aça bilər və bütün prefiks bitləri təyin edilmiş ilk baytı (məsələn, 7-bitlik prefiks üçün 0xFF və ya 5-bitlik prefiks üçün 0x3F), ardınca isə sonsuz 0x80 davamlı baytlarını göndərə bilər. Dekoder -1 ('daha çox bayt lazımdır') dəyərini qaytarır, buna görə də çağırıcılar girişi heç vaxt istehlak etmir, ByteToMessageDecoder kumulyatoru limitsiz şəkildə böyüyür və hər bir decode() çağırışı bütün toplanmış buferi yenidən skan edir ki, bu da O(N^2) CPU xərclərinə səbəb olur. Nəticədə, hər bir konfiqurasiyada əlçatan olan, bağlantı başına limitsiz yığın (heap) artımı (OutOfMemoryError) və event-loop CPU aclığı baş verir. Problem 4.2.18.Final versiyasında düzəldilmişdir.