CVE-2026-100662

Netty'nin HTTP/3 codec bileşeninin (io.netty:netty-codec-http3) 4.2.0.Final ile 4.2.18.Final arasındaki sürümleri, QPACK encoder-stream talimat dekoderinde (eş tarafından başlatılan tek yönlü QPACK encoder akışına kurulu olan ve tipi 0x02 olan QpackEncoderHandler) kontrolsüz kaynak tüketimi zafiyeti içermektedir. İşleyici, "Insert With Literal Name" talimatının (RFC 9204 §4.3.3) Name Length ve Value Length alanları için saldırgan tarafından beyan edilen Integer.MAX_VALUE (~2 GiB) değerine kadar olan dize-literal uzunluklarını, talimat başına veya literal başına herhangi bir uzunluk sınırı ya da kümülasyon boyutu limiti olmaksızın kabul etmektedir; mevcut HTTP/3 sınırları (maxHeaderListSize, maxUnknownFramePayloadLength, DEFAULT_MAX_FIELD_SECTION_SIZE) bu işleyiciye uygulanmamaktadır. Varsayılan bir Netty HTTP/3 sunucusuyla kurulmuş bir HTTP/3 bağlantısına sahip uzaktaki kimliği doğrulanmamış bir eş, çok büyük bir literal uzunluğu beyan edip ardından beyan edilenden daha az bayt göndererek ByteToMessageDecoder MERGE kümülatörünün bağlantı başına tamponu tutmasına ve büyütmesine neden olabilir ve nihayetinde büyük bir bayt dizisi tahsisini tetikleyebilir. Bu durum, bağlantı başına sınırsız yığın büyümesine ve OutOfMemoryError hatasına yol açarak hizmet reddiyle sonuçlanır. 4.2.18.Final sürümünde düzeltilmiştir.