CVE-2026-42587highCWE-400CWE-770

CVE-2026-42587: falha de alta gravidade em netty

Netty: HttpContentDecompressor maxAllocation bypass via Content-Encoding: br/zstd/snappy enables decompression bomb DoS

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar netty+ Monitorar netty-codec-http

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.0%
Em resumo

O Netty tem um limite de segurança para evitar 'bombas de descompressão' (arquivos comprimidos que explodem em tamanho), mas este limite é ignorado para certos tipos de compressão como Brotli, zstd ou Snappy. Um atacante pode explorar isso para derrubar um servidor, enviando dados comprimidos que consomem toda memória disponível.

Detalhe técnico

O HttpContentDecompressor do Netty não aplica o limite maxAllocation para codificações Brotli, zstd e Snappy, enquanto o faz corretamente para gzip e deflate via ZlibDecoder. Um atacante pode enviar uma carga comprimida com Content-Encoding: br/zstd/snappy para desencadear alocação ilimitada de memória, causando negação de serviço. A mesma falha afeta DelegatingDecompressorFrameListener em conexões HTTP/2.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, HttpContentDecompressor accepts a maxAllocation parameter to limit decompression buffer size and prevent decompression bomb attacks. This limit is correctly enforced for gzip and deflate encodings via ZlibDecoder, but is silently ignored when the content encoding is br (Brotli), zstd, or snappy. An attacker can bypass the configured decompression limit by sending a compressed payload with Content-Encoding: br instead of Content-Encoding: gzip, causing unbounded memory allocation and out-of-memory denial of service. The same vulnerability exists in DelegatingDecompressorFrameListener for HTTP/2 connections. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
io.netty · netty-codec-httpio.netty · netty-codec-http2netty · netty
CVEs relacionadas — netty

No mesmo produto, das mais perigosas para as menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%