„`html

CVE-2026-48748: Netty HTTP/3 Memory Exhaustion Vulnerability

Zusammenfassung

Eine Memory-Exhaustion-Sicherheitslücke in Netty vor Version 4.2.15.Final ermöglicht es Angreifern, eine unbegrenzte Anzahl blockierter Streams zu erstellen. Dies führt zu Out-of-Memory (OOM) Fehlern und damit zu einer Denial-of-Service (DoS) Bedingung. Die Schwachstelle betrifft den HTTP/3-Codec und wird als hochgradig kritisch eingestuft (CVSS 7.5).

Betroffene Systeme

Folgende Komponenten sind anfällig:

• Netty Framework: Versionen vor 4.2.15.Final
• Alle Anwendungen, die den HTTP/3-Codec von Netty verwenden
• Systeme mit aktiviertem QUIC/HTTP/3-Support

Die Schwachstelle ist netzwerkbasiert und erfordert keine Authentifizierung.

Technische Details

Die Sicherheitslücke existiert in der Verarbeitung von HTTP/3-Streams im Netty HTTP/3-Codec. Ein Remote-Attacker kann über das Netzwerk speziell konstruierte HTTP/3-Requests senden, die blockierte Streams erzeugen. Der Codec validiert die Anzahl der gleichzeitigen Streams unzureichend, wodurch eine unbegrenzte Speicherallokation möglich wird.

Der Angriffsmechanismus nutzt die Stream-Management-Logik von QUIC/HTTP/3 aus. Jeder blockierte Stream reserviert Speicher, der nicht ordnungsgemäß freigegeben wird. Dies führt zu progressivem Speicherverbrauch und letztlich zum OOM-Fehler des Prozesses.

Empfohlene Massnahmen

• Sofortige Aktion: Upgrade auf Netty 4.2.15.Final oder später durchführen
• Temporäre Mitigation: HTTP/3-Traffic durch Firewalls einschränken oder deaktivieren
• Monitoring: Speicherverbrauch und Stream-Anzahl überwachen
• Rate Limiting: Eingehende HTTP/3-Connections limitieren

Bewertung

„`