PT-2026-47603 · Netty · Netty
Violetagg
·
Publicado
2026-06-08
·
Atualizado
2026-06-12
·
CVE-2026-44892
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do Software Vulnerável e Versões Afetadas
Netty (versões afetadas não especificadas)
Description
A configuração padrão do
Http3ConnectionHandler no codec HTTP/3 do Netty não impõe um limite máximo de tamanho de cabeçalho. Quando um peer não especifica HTTP3 SETTINGS MAX FIELD SECTION SIZE, a implementação utiliza um limite ilimitado. Isso permite que um agente malicioso envie um número excessivo de cabeçalhos, levando à exaustão de memória e a um Denial of Service via OutOfMemoryError. Isso ocorre porque o comportamento padrão segue a RFC 9114, que especifica um padrão ilimitado, ao contrário das implementações HTTP/1.1 e HTTP/2 do Netty, que impõem limites seguros. O limite ilimitado é passado para Http3FrameCodec#newFactory e armazenado como maxHeaderListSize dentro do Http3FrameCodec.Recommendations
Configure o tamanho máximo da seção de campo de cabeçalho via
Http3Settings para substituir o limite ilimitado padrão inseguro.Correção
DoS
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Netty