CVE-2026-100660

Netty'nin 4.2.0.Final ile 4.2.17.Final arasındaki HTTP/3 codec bileşeni (io.netty:netty-codec-http3), akış başına sınırsız QPACK kodlayıcı durumu tutmaktadır. QpackEncoder, QPACK dinamik tablosuna referans veren her kodlanmış alan bölümü için, karşı taraf tarafından kontrol edilen QUIC stream ID anahtarıyla eşleştirilmiş bir kuyruk ve dinamik tablo dizin izleyicisi saklar; bu girişler yalnızca uzak kod çözücü bir Section Acknowledgment veya Stream Cancellation talimatı gönderdiğinde serbest bırakılır, HTTP/3 akışı tamamlandığında değil. İzlenen akışların, alan bölümlerinin veya tutulan baytların sayısında herhangi bir sınır yoktur. Uzaktaki kimliği doğrulanmamış bir HTTP/3 istemcisi, sıfır olmayan bir QPACK dinamik tablo kapasitesi bildirebilir, sunucunun dinamik olarak indekslenmiş bir yanıt üst bilgisini yeniden kullanmasını sağlamak için tablo eklemesini onaylayabilir ve ardından tek bir QUIC bağlantısı üzerinden ardışık istekler gönderirken tüm zorunlu Section Acknowledgment bildirimlerini atlayarak eşzamanlı akış sınırlarını aşabilir ve sunucu belleği tükenene kadar sınırsız yığın büyümesine (hizmet reddi) neden olabilir. 4.2.18.Final sürümünde düzeltilmiştir.