5.3 Moyenne

CVE-2026-93492 Io.netty/netty-codec-http2: netty: http/2 hpackencoder dos with large table size

Description

A flaw was found in Netty's HTTP/2 HpackEncoder. A remote attacker can exploit this by sending HTTP/2 SETTINGS frames with a very large MAX_HEADER_TABLE_SIZE. This causes the HpackEncoder to store an excessive number of unique headers, leading to increased CPU usage and memory consumption, ultimately resulting in a Denial of Service (DoS).

Détail CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; l’impact sur les données ou le service reste limité.

Vecteur d’attaque: Réseau
Complexité: Faible
Privilèges requis: Aucun
Interaction: Aucune
Portée: Inchangée
Confidentialité: Aucun
Intégrité: Aucun
Disponibilité: Faible

Produits et versions touchés

Produit	Versions touchées	Corrigé en
Red Hat AMQ Broker 7	Versions non publiées
Red Hat build of Apache Camel 4 for Quarkus 3	Versions non publiées
Red Hat build of Apache Camel for Spring Boot 4	Versions non publiées
Red Hat build of Apicurio Registry 3	Versions non publiées
Red Hat build of Debezium 3	Versions non publiées
Red Hat Build of Keycloak	Versions non publiées
Red Hat build of Quarkus	Versions non publiées
Red Hat Data Grid 8	Versions non publiées
Red Hat Fuse 7	Versions non publiées

Afficher les 8 autres branches

Produit	Versions touchées	Corrigé en
Red Hat JBoss Enterprise Application Platform 7	Versions non publiées
Red Hat JBoss Enterprise Application Platform 8	Versions non publiées
Red Hat Single Sign-On 7	Versions non publiées
Red Hat build of Quarkus 3.27.5.SP2	Versions non publiées
Red Hat build of Quarkus 3.33.3.SP2	Versions non publiées
Red Hat Build of Debezium 3.6	Versions non publiées
Red Hat JBoss Enterprise Application Platform Expansion Pack	Versions non publiées
Red Hat JBoss Enterprise Application Platform 8.1	Versions non publiées

Références

RHSA-2026:69440 access.redhat.com
RHSA-2026:69470 access.redhat.com
RHSA-2026:83612 access.redhat.com
RHSA-2026:95221 access.redhat.com
access.redhat.com access.redhat.com
RHBZ#2536895 bugzilla.redhat.com

Chronologie

Publiée 18 septembre 2026
Dernière modification 4 novembre 2026

Les 88 CVE de Red Hat AMQ Broker 7 →

CVE-2026-96453 Org.keycloak/keycloak-admin-cli: keycloak-admin-cli: kcadm custom truststore accepts arbitrary self-signed certificates 8.0 Élevée CVE-2026-93998 Keycloak-core: keycloak-core: saml adapter does not bind signed assertions to the configured identity provider issuer 7.4 Élevée CVE-2026-101292 Apache ActiveMQ Artemis before 2.34.0 contains an unsafe reflection vulnerability in… 8.2 Élevée CVE-2026-93562 A flaw was found in Netty's HTTP/1 decoder 6.5 Moyenne

Suivre cette CVE