Netty: HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Netty tiene una falla en cómo interpreta ciertas reglas de formato de solicitud HTTP, permitiendo que atacantes envíen solicitudes especialmente construidas que pueden eludir controles de seguridad o engañar al servidor para procesar comandos maliciosos.

Netty en versiones anteriores a 4.1.132.Final y 4.2.10.Final contiene una vulnerabilidad de HTTP request smuggling (CWE-444) en el análisis de extensiones de codificación chunked. El framework interpreta incorrectamente cadenas entrecomilladas en valores de extensión de chunk, permitiendo que un atacante inyecte solicitudes ambiguas procesadas de forma diferente por proxies intermediarios y servidores backend, lo que potencialmente resulta en elusión de filtros o envenenamiento de caché.