CVE-2026-44891, CVE-2026-55831, CVE-2026-55833

Data: 2026-07-27

Severity: High

CVSS Score:

  • CVE-2026-44891: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

  • CVE-2026-55831: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

  • CVE-2026-55833: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H)

Nota

La severity e i CVSS Score si riferiscono alle vulnerabilità della libreria Netty. Come descritto nella sezione GovWay, i moduli Netty che contengono il codice vulnerabile (netty-codec-stomp e netty-codec-http) non sono distribuiti dal prodotto: le vulnerabilità non si manifestano in GovWay.

Riferimenti:

Libreria:

  • CVE-2026-44891: io.netty:netty-codec-stomp (<= 4.1.135.Final, >= 4.2.0.Final e <= 4.2.15.Final)

  • CVE-2026-55831, CVE-2026-55833: io.netty:netty-codec-http (>= 4.1.0.Final e <= 4.1.135.Final, >= 4.2.0.Final e <= 4.2.15.Final)

Descrizione

  1. [CVE-2026-44891] CWE-400: Uncontrolled Resource Consumption / CWE-770: Allocation of Resources Without Limits or Throttling

Netty is a network application framework for development of protocol servers and clients. Prior to 4.1.136.Final and 4.2.16.Final, io.netty.handler.codec.stomp.StompSubframeDecoder fails to limit the total number of headers or their cumulative size per frame, and the maxLineLength parameter only restricts individual header lines. An attacker can send a large number of short headers that are accumulated in memory inside DefaultStompHeadersSubframe until the JVM throws an OutOfMemoryError, causing denial of service for servers exposing a STOMP endpoint based on StompSubframeDecoder. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.

  1. [CVE-2026-55831] CWE-400: Uncontrolled Resource Consumption / CWE-770: Allocation of Resources Without Limits or Throttling

Netty is a network application framework for development of protocol servers and clients. Prior to 4.1.136.Final and 4.2.16.Final, Netty’s SPDY SETTINGS decoder accepts a peer-declared SETTINGS entry count up to the 24-bit frame-length limit and materializes every unique setting ID in DefaultSpdySettingsFrame, allowing a remote SPDY/3.1 peer to send a syntactically valid roughly 2 MiB SETTINGS frame that creates 262144 map entries and amplifies network input into heap growth and ordered-map insertion work. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.

  1. [CVE-2026-55833] CWE-400: Uncontrolled Resource Consumption

Netty is a network application framework for development of protocol servers and clients. Prior to 4.1.136.Final and 4.2.16.Final, Netty SPDY header decoding continues inflating zlib-compressed header blocks after the raw header parser has exceeded maxHeaderSize and marked the frame truncated in SpdyFrameCodec, allowing a remote peer to send a small compressed HEADERS block that expands into much larger raw header data and causes compression-amplified CPU and allocation churn. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.

GovWay

Le tre vulnerabilità sono state segnalate dagli strumenti di analisi delle dipendenze sui jar Netty distribuiti da GovWay per effetto di un match sul CPE generico cpe:2.3:a:netty:netty, che identifica la libreria nel suo complesso senza distinguere i singoli moduli che la compongono.

Le librerie Netty non sono utilizzate direttamente da GovWay: vengono incluse esclusivamente come dipendenza di Redisson, il client utilizzato per connettersi a un server Redis quando l’amministratore abilita le funzionalità distribuite basate su Redis (contatori distribuiti del controllo del traffico / rate limiting in cluster, cache distribuita, protezione anti-replay JTI). Tutte le dipendenze transitive di Redisson sono escluse nel POM (exclusion *:*) e vengono distribuiti unicamente i moduli Netty strettamente necessari al client Redis:

  • linea 3.3.x (lib/redis, Netty 4.1.133.Final): netty-buffer, netty-codec, netty-codec-dns, netty-common, netty-handler, netty-resolver, netty-resolver-dns, netty-transport, netty-transport-native-unix-common;

  • linea 3.4.x (lib/redis, Netty 4.2.15.Final): i medesimi moduli, con l’aggiunta di netty-codec-base.

Il codice vulnerabile risiede invece in due moduli che GovWay non distribuisce:

  • io.netty:netty-codec-stomp, che contiene StompSubframeDecoder (CVE-2026-44891);

  • io.netty:netty-codec-http, che contiene il codec SPDY SpdyFrameCodec e la relativa decodifica degli header (CVE-2026-55831 e CVE-2026-55833).

La verifica del contenuto degli archivi effettivamente distribuiti in entrambe le linee ha confermato l’assenza delle classi dei package io.netty.handler.codec.stomp e io.netty.handler.codec.spdy.

Inoltre, tutte e tre le vulnerabilità richiedono l’esposizione di un endpoint server che parli STOMP o SPDY/3.1: nel prodotto Netty opera unicamente come client verso il server Redis e GovWay non espone alcun servizio basato su Netty, tantomeno sui protocolli STOMP o SPDY.

Le vulnerabilità non sono pertanto esercitabili in GovWay. Ciononostante, come misura precauzionale e per allineare la libreria alle release prive di vulnerabilità note, Netty viene aggiornato alle versioni 4.1.136.Final (linea 3.3.x) e 4.2.16.Final (linea 3.4.x).

Versione affette:

  • 3.3.x: <= 3.3.20 (vulnerabilità non esercitabile)

  • 3.4.x: <= 3.4.3 (vulnerabilità non esercitabile)

Risoluzione:

  • 3.3.x: 3.3.21

  • 3.4.x: 3.4.4