FICHE CVE

CVE-2026-54251

Publiée le 2026-09-15 · Dernière modification le 2026-09-15

🇫🇷 EN BREF

Les passerelles Netty-incubator-codec-ohttp antérieures à la version 0.0.23.Final sont sujettes à une fuite de mémoire lors du traitement de requêtes chiffrées malformées. Un attaquant distant non authentifié peut provoquer le plantage de la passerelle en envoyant répétitivement des requêtes avec des balises de sécurité invalides, ce qui épuise la mémoire hors tas (off-heap) du serveur. Cette attaque est facile à exécuter car elle ne nécessite aucun privilège particulier ni interaction de l'utilisateur, au-delà d'un accès réseau basique.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-664

Publiée2026-09-15

Dernière modification2026-09-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

netty-incubator-codec-ohttp implements Oblivious HTTP (OHTTP) gateway and client functionality using Netty. Prior to 0.0.23.Final, the OHTTP gateway decryption path in codec-ohttp/src/main/java/io/netty/incubator/codec/ohttp/OHttpRequestResponseContext.java allocates a pooled direct ByteBuf for decrypted plaintext before the AEAD tag is verified. When an invalid tag causes decryptChunk() to throw CryptoException, OHttpRequestResponseContext.decodeChunk() does not release the ByteBuf because the allocation is not guarded by try/finally. Repeated invalid encrypted requests can therefore leak native off-heap memory until the gateway is unable to continue serving requests. This issue is fixed in version 0.0.23.Final.