CVE-2026-100666— Netty 4.2.0到4.2.16 通过HttpServerCodec的响应不同步漏洞
一分钟漏洞结论
影响对象
netty netty
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Netty 的 HttpServerCodec（io.netty:netty-codec-http）在 4.2.0.Final 到 4.2.16.Final 版本之间，以及 4.1.136.Final 及更早版本中存在安全漏洞。这些版本中的 HttpServerCodec 为每个出站响应通过调用 pollMethod() 来与一个入站请求进行配对，包括 1xx 信息性响应。 如果客户端使用 HTTP/1.1 管道（pipelining）发送一个携带了 “Expect: 100-continue” 报头的 GET 请
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-100666 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Netty 4.2.0 through 4.2.16 Response Desynchronization via HttpServerCodec
来源: CVE Program / CVE List V5
Vulnerability Description
Netty's HttpServerCodec (io.netty:netty-codec-http) in versions 4.2.0.Final through 4.2.16.Final and in versions up to and including 4.1.136.Final pairs each outbound response with an inbound request by calling pollMethod() once per response, including for 1xx informational responses. If a client pipelines an HTTP/1.1 GET carrying an Expect: 100-continue header followed by a HEAD request, the 100 Continue response consumes the queued GET method, so the subsequent 200 OK for the GET is paired with HEAD and its body is dropped, while the following 200 OK for the HEAD request is written with a body. This desynchronizes HTTP parsing on the connection: the GET entity is never delivered and the HEAD response body is interpreted as the GET body, resulting in response splitting and unsafe connection reuse. Fixed in 4.2.17.Final and 4.1.137.Final.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
来源: CVE Program / CVE List V5
Vulnerability Type
HTTP请求的解释不一致性(HTTP请求私运)
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-100666 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-100666 的情报信息
请登录查看更多情报信息。
CVE-2026-100666 厂商安全公告 (1)
CVE-2026-100666 其他参考 (1)
同批安全公告 · netty · 2026-09-26 · 共 12 条
| CVE-2026-100655 | 7.5 HIGH | Netty 4.1.138之前版本 SpdySessionHandler拒绝服务漏洞 |
| CVE-2026-100663 | 7.5 HIGH | Netty HTTP/1 CONNECT 授权形式错误转换导致 HTTP/3 畸形漏洞 |
| CVE-2026-100656 | 7.5 HIGH | Netty HttpServerCodec HTTP/1.1流水线队列无限增长漏洞 |
| CVE-2026-100661 | 7.5 HIGH | Netty HTTP/3 QPACK 前缀整数拒绝服务漏洞 |
| CVE-2026-100660 | 7.5 HIGH | Netty 4.2.18 之前版本 QpackEncoder 无限内存保留漏洞 |
| CVE-2026-100665 | 7.5 HIGH | Netty 4.2.11至4.2.17 QUIC主机名验证绕过漏洞 |
| CVE-2026-100662 | 7.5 HIGH | Netty HTTP/3 QPACK 编码器流无限内存耗尽拒绝服务漏洞 |
| CVE-2026-100664 | 7.5 HIGH | Netty 4.2.2-4.2.17 HTTP/1 主机头授权混淆漏洞 |
| CVE-2026-100657 | 7.5 HIGH | Netty 4.1.138之前版本 StompSubframeDecoder字节缓冲区泄漏漏洞 |
| CVE-2026-100659 | 6.5 MEDIUM | Netty 4.2.0-4.2.17 HTTP/3 请求路由绕过漏洞 |
| CVE-2026-100658 | 5.3 MEDIUM | Netty 4.1.138 之前 WebSocket 拒绝服务漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-100666
暂无评论