FICHE CVE

CVE-2026-48059

Publiée le 2026-06-12 · Dernière modification le 2026-09-11

🇫🇷 EN BREF

Les applications utilisant le framework réseau Netty et le protocole PROXY v2 de HAProxy sont susceptibles de présenter une fuite de mémoire. Un attaquant distant non authentifié peut provoquer le plantage du serveur en envoyant des en-têtes réseau spécialement conçus qui bloquent définitivement des tampons de mémoire, entraînant à terme un déni de service. Cet exploit est facile à exécuter car il ne nécessite aucune interaction de l'utilisateur ni d'accès préalable au système.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Fuite de mémoire · CWE-401 CWE-1286

Publiée2026-06-12

Dernière modification2026-09-11

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Netty is a network application framework for development of protocol servers and clients. Prior to versions 4.1.135.Final and 4.2.15.Final, the HAProxy PROXY protocol v2 codec in netty leaks native or heap memory on every connection when a client sends a syntactically valid header containing nested `PP2_TYPE_SSL` TLVs (type-length-value records) at depth two or greater. The leak occurs on the successful parse path — no exception is thrown, the message fires downstream, the decoder removes itself, and the application releases the `HAProxyMessage` normally. Yet the underlying cumulation buffer (a pooled, potentially direct `ByteBuf` allocated by the channel) remains permanently pinned. Versions 4.1.135.Final and 4.2.15.Final patch the issue.