PT-2026-63258 · Netty · Netty

CVE-2026-56819 · Publicado 2026-07-21 · Atualizado 2026-07-21

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas Netty versões 4.1.0.Final through 4.1.135.Final Netty versões 4.2.0.Final through 4.2.15.Final

Description Um peer remoto não autenticado pode causar um vazamento de memória de um ByteBuf direto por frame DATA de HTTP/2 em aplicações que habilitam a descompressão de conteúdo HTTP/2 via DelegatingDecompressorFrameListener. O problema ocorre quando um frame DATA é processado para um stream cujo descompressor já foi fechado; a função Http2Decompressor.decompress() chama decompressor.writeInbound(data.retain()) e não libera o buffer retido no caminho de erro, eventualmente esgotando a memória direta e travando a JVM.

Recommendations Atualizar para a versão 4.1.136.Final Atualizar para a versão 4.2.16.Final

Exploit

Correção

Memory Leak

Resource Exhaustion

Enumeração de Fraquezas

CWE-401

CWE-400

Identificadores relacionados

CVE-2026-56819

GHSA-93WV-JW9V-4972

Produtos afetados

Netty

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/56xxx/CVE-2026-56819.json · Exploit
• https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003bhttps://github.com/netty/netty/releases/tag/netty-4.2.16.Final · Nota
• https://github.com/netty/netty/security/advisories/GHSA-93wv-jw9v-4972 · Nota
• https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6 · Nota
• https://github.com/netty/netty/releases/tag/netty-4.1.136.Final · Nota
• https://github.com/netty/netty/releases/tag/netty-4.2.16.Final · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-56819 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2026-56819 · Aviso do Fabricante