CVE-2026-100661

Netty'nin HTTP/3 codec bileşeninin (io.netty:netty-codec-http3) 4.2.0.Final ile 4.2.17.Final arasındaki sürümleri, işleyeceği devam baytlarının sayısını sınırlamayan QPACK ön ekli tam sayı çözücüsünde (QpackUtil.decodePrefixedInteger) bir hizmet reddi (denial-of-service) zafiyeti içermektedir. Uzaktaki kimliği doğrulanmamış bir eş, bir QPACK tek yönlü akışı (tip 0x02 encoder veya 0x03 decoder) açabilir ve tüm ön ek bitleri ayarlanmış ilk bir baytı (örneğin 7 bitlik bir ön ek için 0xFF veya 5 bitlik bir ön ek için 0x3F), ardından sonsuz bir 0x80 devam baytı dizisini gönderebilir. Çözücü -1 ('daha fazla bayta ihtiyaç var') döndürür, bu nedenle çağıranlar girdiyi asla tüketmez, ByteToMessageDecoder biriktiricisi sınırsız şekilde büyür ve her decode() çağrısı birikmiş tamponun tamamını yeniden tarayarak O(N^2) CPU maliyeti oluşturur. Sonuç olarak, her yapılandırmada erişilebilir olan, bağlantı başına sınırsız yığın büyümesi (OutOfMemoryError) ve olay döngüsü (event-loop) CPU kıtlığı meydana gelir. 4.2.18.Final sürümünde düzeltilmiştir.