CVE-2024-29025

Netty es un framework de aplicación de red asíncrono impulsado por eventos para el desarrollo rápido de servidores y clientes de protocolo de alto rendimiento mantenibles. Se puede engañar al `HttpPostRequestDecoder` para que acumule datos. Si bien el decodificador puede almacenar elementos en el disco si está configurado así, no hay límites para la cantidad de campos que puede tener el formulario, un adjunto puede enviar una publicación fragmentada que consta de muchos campos pequeños que se acumularán en la lista `bodyListHttpData`. El decodificador acumula bytes en el búfer `undecodedChunk` hasta que puede decodificar un campo, este campo puede acumular datos sin límites. Esta vulnerabilidad se soluciona en 4.1.108.Final.

A flaw was found in the io.netty:netty-codec-http package. Affected versions of this package are vulnerable to Allocation of Resources Without Limits or Throttling issues due to the accumulation of data in the HttpPostRequestDecoder. The decoder cumulates bytes in the undecodedChunk buffer until it can decode a field, allowing data to accumulate without limits. This flaw allows an attacker to cause a denial of service by sending a chunked post consisting of many small fields that will be accumulated in the bodyListHttpData list.