CVE-2026-100663

Netty'nin 4.2.2.Final ile 4.2.17.Final arasındaki HTTP/3 codec bileşeni (io.netty:netty-codec-http3), HttpConversionUtil.toHttp3Headers içerisinde HTTP/1 mesajlarını HTTP/3'e dönüştürürken HTTP/1 CONNECT authority-form istek hedefleri için özel bir işlem yapmamaktadır. Authority-form hedefi (örneğin, "CONNECT trusted.example:443") bir URI olarak ayrıştırıldığından, ana bilgisayarı :scheme olarak yayınlanır, :path "/" olarak ayarlanır ve HTTP/1 Host başlığı :authority olarak kullanılır; eğer Host başlığı mevcut değilse CONNECT hedefi düşürülür. Netty tabanlı bir HTTP/1-den-HTTP/3'e proxy veya ağ geçidinde, uzak bir istemci, Host başlığında istek hedefinden farklı bir yetkili isim belirten bir CONNECT isteği göndererek tünel :authority kısmının saldırgan tarafından kontrol edildiği hatalı biçimlendirilmiş bir HTTP/3 CONNECT isteği oluşturabilir. Bu durum; HTTP/3 üzerinden yönlendirmeden önce HTTP/1 CONNECT istek hedefini doğrulayan tünel izin listelerini, çıkış politikasını, arka uç seçimini veya denetim kontrollerini atlatmaya olanak tanıyabilir. Sorun 4.2.18.Final sürümünde düzeltilmiştir.