CVE-2026-33871highCWE-770

CVE-2026-33871: falha de alta gravidade em netty

Netty HTTP/2 CONTINUATION Frame Flood DoS via Zero-Byte Frame Bypass

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar netty+ Monitorar netty

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 8.7epss 1.1%
Em resumo

Um servidor Netty HTTP/2 pode ficar indisponível ao receber muitos pequenos frames de controle que burlam as proteções existentes. Um atacante usa banda mínima para forçar o servidor a consumir CPU excessiva e parar de responder.

Detalhe técnico

Atacante remoto explora a ausência de limite de taxa para frames HTTP/2 CONTINUATION em versões do Netty anteriores a 4.1.132.Final e 4.2.10.Final. Ao criar frames de zero bytes, contorna mitigações baseadas em tamanho (CWE-770 Alocação de Recursos Sem Limite), causando consumo ilimitado de CPU e negação de serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty is an asynchronous, event-driven network application framework. In versions prior to 4.1.132.Final and 4.2.10.Final, a remote user can trigger a Denial of Service (DoS) against a Netty HTTP/2 server by sending a flood of `CONTINUATION` frames. The server's lack of a limit on the number of `CONTINUATION` frames, combined with a bypass of existing size-based mitigations using zero-byte frames, allows an user to cause excessive CPU consumption with minimal bandwidth, rendering the server unresponsive. Versions 4.1.132.Final and 4.2.10.Final fix the issue.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Produtos afetados
netty · netty
CVEs relacionadas — netty

No mesmo produto, das mais perigosas para as menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%