Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.2.0.Finalから4.2.17.FinalまでのNettyのHTTP/3コーデック(io.netty:netty-codec-http3)は、ストリームごとのQPACKエンコーダー状態を無制限に保持します。QpackEncoder は、QPACK 動的テーブルを参照する各エンコード済みフィールドセクションのキューと動的テーブルインデックストラッカーを、ピア制御の QUIC ストリーム ID によってキー設定します。これらのエントリは、リモートデコーダーがセクション確認またはストリームキャンセルの命令を送信したときのみリリースされ、HTTP/3 ストリームが完了したときではありません。追跡されるストリーム、フィールドセクション、または保持されたバイトの数に制限はありません。リモートの認証されていない HTTP/3 クライアントが、ゼロではない QPACK ダイナミックテーブルの容量をアドバタイズし、サーバーが動的にインデックス化された応答ヘッダーを再利用するようにテーブル挿入を確認してから、単一の QUIC 接続で連続したリクエストを発行する際には、すべての必須のセクション確認応答を省略することで、同時ストリーム制限をバイパスし、サーバーがメモリを使い果たすまで際限のないヒープ増加(サービス拒否)を引き起こす可能性があります。4.2.18.Final で修正済み。
    (CVE-2026-100660)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-100660

high Nessus プラグイン ID 351262

バージョン 1.1