Mittel

Netty HTTP/2: Advertised MAX_CONCURRENT_STREAMS are not enforced

Veröffentlicht: 08.06.2026
Aktualisiert: 11.10.2026 13:20

Impact

DefaultHttp2Connection.DefaultEndpoint initialises maxActiveStreams/maxStreams to Integer.MAX_VALUE, and Http2Settings never inserts SETTINGS_MAX_CONCURRENT_STREAMS by default (Http2Settings.java:305-307 only clamps a user-supplied value). Unless the application explicitly calls initialSettings().maxConcurrentStreams(n), a Netty HTTP/2 server advertises no limit and enforces none locally. Each open stream allocates a DefaultStream object, PropertyMap slots, flow-controller state and IntObjectHashMap entry; with ~2^30 permissible odd stream IDs a single TCP connection can create hundreds of thousands of long-lived stream objects. This is also the precondition for CVE-2023-44487-style Rapid-Reset amplification, where the absence of a low concurrent cap multiplies backend work.

Resources

https://www.rfc-editor.org/rfc/rfc7540.html#section-6.5.2

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	io.netty:netty-codec-http2	>= 4.2.0.Final, < 4.2.15.Final, < 4.1.135.Final	4.2.15.Final, 4.1.135.Final

Verweise

CVSS-Wert 5.3/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Schwäche (CWE): CWE-400
Plattform: Java / Kotlin (Maven)
Paket: io.netty:netty-codec-http2
Veröffentlicht: 08.06.2026
Aktualisiert: 11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-5x3r-wrvg-rp6q - CC BY 4.0

Schwachstellenhistorie: io.netty:netty-codec-http2

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (11) im Archiv

Einträge insgesamt: 11
Erste → letzte: 03.2021 07.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 5
Mittel 6

Veröffentlichungen pro Jahr

2021: 2
2022: 0
2023: 1
2024: 0
2025: 1
2026: 7

31.07.2026

Netty: HTTP/2 decompression leaks ByteBuf reference count when the decompressor channel is already closed (Direct memory leak / OOM DoS)

Hoch · 7.5 CVE-2026-56819 >= 4.2.0, < 4.2.16.Final, >= 4.1.0.Final, < 4.1.136.Final 4.2.16.Final, 4.1.136.Final
08.06.2026

Netty HTTP/2: Advertised MAX_CONCURRENT_STREAMS are not enforced dieser Eintrag

Mittel · 5.3 CVE-2026-47244 >= 4.2.0.Final, < 4.2.15.Final, < 4.1.135.Final 4.2.15.Final, 4.1.135.Final
07.05.2026

Netty: HttpContentDecompressor maxAllocation bypass when Content-Encoding set to br/zstd/snappy leads to decompression bomb DoS

Hoch · 7.5 CVE-2026-42587 >= 4.2.0.Alpha1, < 4.2.13.Final, < 4.1.133.Final 4.2.13.Final, 4.1.133.Final
26.03.2026

Netty HTTP/2 CONTINUATION Frame Flood DoS via Zero-Byte Frame Bypass

Hoch CVE-2026-33871 < 4.1.132.Final, >= 4.2.0.Alpha1, < 4.2.11.Final 4.1.132.Final, 4.2.11.Final
13.08.2025

Netty affected by MadeYouReset HTTP/2 DDoS vulnerability

Hoch · 7.5 CVE-2025-55163 >= 4.2.0.Alpha1, < 4.2.4.Final, < 4.1.124.Final 4.2.4.Final, 4.1.124.Final
10.10.2023

io.netty:netty-codec-http2 vulnerable to HTTP/2 Rapid Reset Attack

Hoch · 7.5 ghsa-xpw8-rcwv-8f8p < 4.1.100.Final 4.1.100.Final

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden