CVE-2026-33870highCWE-444

CVE-2026-33870: falha de alta gravidade em netty

Netty: HTTP Request Smuggling via Chunked Extension Quoted-String Parsing

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar netty+ Monitorar netty

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 0.7%
Em resumo

Netty possui uma falha na forma como interpreta o formato de requisições HTTP, permitindo que atacantes enviem requisições especialmente construídas que podem contornar validações de segurança ou enganar o servidor para processar comandos maliciosos.

Detalhe técnico

Netty em versões anteriores a 4.1.132.Final e 4.2.10.Final contém uma vulnerabilidade de HTTP request smuggling (CWE-444) na análise de extensões de codificação chunked. O framework interpreta incorretamente strings entre aspas em valores de extensão de chunk, permitindo que um atacante injete requisições ambíguas processadas diferentemente por proxies intermediários e servidores backend, potencialmente resultando em contorno de filtros ou envenenamento de cache.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty is an asynchronous, event-driven network application framework. In versions prior to 4.1.132.Final and 4.2.10.Final, Netty incorrectly parses quoted strings in HTTP/1.1 chunked transfer encoding extension values, enabling request smuggling attacks. Versions 4.1.132.Final and 4.2.10.Final fix the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
netty · netty
CVEs relacionadas — netty

No mesmo produto, das mais perigosas para as menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%