PT-2026-38379 · Netty+2 · Netty+2
Publicado
2026-05-07
·
Atualizado
2026-06-24
·
CVE-2026-42587
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Netty versões anteriores a 4.1.133.Final
Netty versões anteriores a 4.2.13.Final
Descrição
O
HttpContentDecompressor e o DelegatingDecompressorFrameListener (utilizado para conexões HTTP/2) utilizam um parâmetro maxAllocation para limitar o tamanho do buffer de descompressão e prevenir ataques de bomba de descompressão—uma técnica onde um payload compactado pequeno se expande para um tamanho massivo para esgotar os recursos do sistema. Embora esse limite seja aplicado para codificações gzip e deflate via ZlibDecoder, ele é ignorado para as codificações br (Brotli), zstd ou snappy. Um invasor pode burlar o limite configurado enviando um payload compactado com Content-Encoding: br, zstd ou snappy, resultando em alocação de memória ilimitada e negação de serviço por falta de memória (out-of-memory).Recomendações
Atualize para a versão 4.1.133.Final ou posterior.
Atualize para a versão 4.2.13.Final ou posterior.
Exploit
Correção
DoS
Resource Exhaustion
Allocation of Resources Without Limits
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Confluence
Netty
Red Os