CVE-2026-33870highCWE-444

CVE-2026-33870: fallo de gravedad alta en netty

Netty: HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear netty+ Monitorear netty

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 0.7%
En resumen

Netty tiene una falla en cómo interpreta ciertas reglas de formato de solicitud HTTP, permitiendo que atacantes envíen solicitudes especialmente construidas que pueden eludir controles de seguridad o engañar al servidor para procesar comandos maliciosos.

Detalle técnico

Netty en versiones anteriores a 4.1.132.Final y 4.2.10.Final contiene una vulnerabilidad de HTTP request smuggling (CWE-444) en el análisis de extensiones de codificación chunked. El framework interpreta incorrectamente cadenas entrecomilladas en valores de extensión de chunk, permitiendo que un atacante inyecte solicitudes ambiguas procesadas de forma diferente por proxies intermediarios y servidores backend, lo que potencialmente resulta en elusión de filtros o envenenamiento de caché.

Resumen generado y traducido por IA a partir de la descripción oficial.
Netty is an asynchronous, event-driven network application framework. In versions prior to 4.1.132.Final and 4.2.10.Final, Netty incorrectly parses quoted strings in HTTP/1.1 chunked transfer encoding extension values, enabling request smuggling attacks. Versions 4.1.132.Final and 4.2.10.Final fix the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
netty · netty
CVEs relacionadas — netty

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%