#netty — Public Fediverse posts

We've released #Netty 4.2.13.Final and 4.1.133.Final, fixing 13 CVEs (http, http2, http3, compression, dns, mqtt, proxy, redis) and a number of bugs:
* https://netty.io/news/2026/05/04/4-2-13-Final.html
* https://netty.io/news/2026/05/04/4-1-133-Final.html

We will do a #Netty release sometime in a few days, late this week or early next week. It will fix many security issues; more than usual. Be prepared to update.

WebFlux vs Virtual Threads: что происходит при 2000 RPS

Всем привет! Меня зовут Александр, и сегодня я расскажу о результатах перевода учебного проекта со Spring WebFlux и Netty на Spring MVC и Tomcat с виртуальными потоками и проверки обоих вариантов под нагрузкой в 2000rps. В качестве подопытного будет выступать система микросервисов, разработанная в рамках курса CloudJava .

https://habr.com/ru/articles/1024936/

#Java #virtual_threads #webflux #springboot #netty #tomcat

We've released Netty 4.2.12.Final. This fixes a regression introduced in 4.2.11.Final, in the CompositeByteBuf implementation.

Release notes: https://netty.io/news/2026/03/24/4-2-12-Final.html
#netty #java

We're released Netty 4.2.11 and 4.1.132. These contain many bug fixes, and fixes for two CVEs both rated *high*:

- CVE-2026-33871: HTTP/2 CONTINUATION frame flood Denial of Service.
- CVE-2026-33870: HTTP/1.1 Request Smuggling vulnerability in chunked encoding parsing.

Release notes for 4.2.11: https://netty.io/news/2026/03/24/4-2-11-Final.html
Release notes for 4.1.132: https://netty.io/news/2026/03/24/4-1-132-Final.html

Also of note: We had 17 people contribute to Netty 4.2.11, of which 5 are new first time contributors 😲

#netty #java

Бойтесь буквы «M». Самый странный баг в моей жизни

Вечером в пятницу коллега, назовем его Мститель, спросил, не сталкивался ли я с проблемой, что route возвращает 400... но «если сменить название на сильно другое», то всё ок. Я сперва не обратил внимание на слово «сильно». Может быть, где-то дублируется регистрация этого рута? Или мститель перепутал GET и POST. Или какой-то баг в общем на создание хэндлеров? Милости просим

https://habr.com/ru/articles/1006164/

#java #netty #bug #биты #long #побитовые_операторы #сдвиг #backend #verification #баги

Бойтесь буквы «M». Самый странный баг в моей жизни

Вечером в пятницу коллега, назовем его Мститель, спросил, не сталкивался ли я с проблемой, что route возвращает 400... но «если сменить название на сильно другое», то всё ок. Я сперва не обратил внимание на слово «сильно». Может быть, где-то дублируется регистрация этого рута? Или мститель перепутал GET и POST. Или какой-то баг в общем на создание хэндлеров? Милости просим

https://habr.com/ru/articles/1006164/

#java #netty #bug #биты #long #побитовые_операторы #сдвиг #backend #verification #баги

Бойтесь буквы «M». Самый странный баг в моей жизни

Вечером в пятницу коллега, назовем его Мститель, спросил, не сталкивался ли я с проблемой, что route возвращает 400... но «если сменить название на сильно другое», то всё ок. Я сперва не обратил внимание на слово «сильно». Может быть, где-то дублируется регистрация этого рута? Или мститель перепутал GET и POST. Или какой-то баг в общем на создание хэндлеров? Милости просим

https://habr.com/ru/articles/1006164/

#java #netty #bug #биты #long #побитовые_операторы #сдвиг #backend #verification #баги

Бойтесь буквы «M». Самый странный баг в моей жизни

Вечером в пятницу коллега, назовем его Мститель, спросил, не сталкивался ли я с проблемой, что route возвращает 400... но «если сменить название на сильно другое», то всё ок. Я сперва не обратил внимание на слово «сильно». Может быть, где-то дублируется регистрация этого рута? Или мститель перепутал GET и POST. Или какой-то баг в общем на создание хэндлеров? Милости просим

https://habr.com/ru/articles/1006164/

#java #netty #bug #биты #long #побитовые_операторы #сдвиг #backend #verification #баги

#Netty joined the GitHub Secure OSS Fund.
Most immediate impact for us is that we reviewed our project security settings, e.g. we now enforce that all maintainers have 2FA.
We also formalized our incident response plan and threat model.
There's still more we want to do in this area, but the missing pieces are clearer and more concrete.

https://github.blog/open-source/maintainers/securing-the-ai-software-supply-chain-security-results-across-67-open-source-projects/

We've also released #Netty 4.1.131 with bug fixes: https://netty.io/news/2026/02/06/4-1-131-Final.html

We've released #Netty 4.2.10 with many bug fixes and improvements: https://netty.io/news/2026/02/05/4-2-10.html #java

RE: https://mastodon.social/@openjdk/115883872388466410

If you use recent #Netty with BoringSSL, you already have this feature: having X25519MLKEM768 enabled by default for TLSv1.3.

If you didn't know, #Netty 4.2.8 and newer enable the X25519MLKEM768 post-quantum key agreement protocol by default when using BoringSSL or AWS-LC. This prevents harvest-now-decrypt-later attacks, for TLS connections where the peer also supports this protocol. Thanks to protocol negotiation in TLS, this enablement is portable and backwards compatible.
Reference: https://github.com/netty/netty/pull/15830

We've released Netty 4.2.9 and 4.1.130.

They fix CVE-2025-67735 (https://github.com/netty/netty/security/advisories/GHSA-84h7-rjj3-6jx4), which is a line break injection vulnerability when encoding HTTP request objects.

The fix introduced a regression we had to fix as well, so versions 4.2.8 and 4.1.129 are skipped.

https://netty.io/news/2025/12/15/4-2-9.html
https://netty.io/news/2025/12/15/4-2-8.html
https://netty.io/news/2025/12/15/4-1-130-Final.html
https://netty.io/news/2025/12/15/4-1-129-Final.html

#netty #java

We've released Netty 4.2.7 and 4.1.128:
- https://netty.io/news/2025/10/15/4-2-7.html
- https://netty.io/news/2025/10/14/4-1-128-Final.html

They fix numerous bugs, including CVE-2025-59419 https://github.com/netty/netty/security/advisories/GHSA-jq43-27x9-3v86
#netty #java

The @linuxfoundation has added #Netty to LFX Insights, their index of "the world's most critical open source projects"
https://insights.linuxfoundation.org/project/netty

We've released Netty 4.2.6 and 4.1.127, which fixes a regression introduced in the previous version.
https://netty.io/news/2025/09/08/4-2-6.html
https://netty.io/news/2025/09/08/4-1-127-Final.html
#netty #java

We've released Netty 4.2.5 and 4.1.126:
- https://netty.io/news/2025/09/03/4-2-5.html
- https://netty.io/news/2025/09/03/4-1-126-Final.html

They fix two security issues:
- a zip-bomb attack, CVE-2025-58057: https://github.com/netty/netty/security/advisories/GHSA-3p8m-j85q-pgmj
- an HTTP request smuggling attack, CVE-2025-58056: https://github.com/netty/netty/security/advisories/GHSA-fghv-69vj-qj49

#netty #java

In the past week we've done a handful of Netty releases:
- Netty 4.1.124.Final (https://netty.io/news/2025/08/13/4-1-124-Final.html) and 4.2.4.Final (https://netty.io/news/2025/08/13/4-2-4.html) were released, fixing the MadeYouReset HTTP/2 DDoS vulnerability CVE-2025-55163
- Netty 4.2.4 also includes a slew of other bug fixes and enhancements
- Netty/Incubator/Codec/OHTTP 0.0.19.Final fixes a couple of bugs: https://netty.io/news/2025/08/15/ohttp-0-0-19-Final.html
- Netty/Incubator/Codec/Quic 0.0.74.Final fixes CVE-2025-7054: https://netty.io/news/2025/08/18/quic-0-0-74-Final.html
#netty #java

Hot on the heels of the 4.2.3 release yesterday, we've now released Netty 4.1.123.Final.
It include many of the same bug fixes, and fixes for the adaptive allocator: https://netty.io/news/2025/07/16/4-1-123-Final.html
#netty #java

We've released Netty 4.2.3.Final. This introduces bug-fixes for native image, and big improvements to the io_uring transport and the adaptive memory allocator.
If you've been on the fence wrt. upgrading to 4.2, this is the release to start looking at.
Release notes: https://netty.io/news/2025/07/15/4-2-3.html
#netty #java

The #Micronaut and #Quarkus teams have been working on the future of virtual threads for #Netty: https://micronaut.io/2025/06/30/transitioning-to-virtual-threads-using-the-micronaut-loom-carrier/
#java

I made some pretty charts showing the memory allocator improvements we're shipping in #Netty 4.2.3: https://github.com/netty/netty/pull/15429

I updated the wiki with the latest changes around Unsafe, Java 24, and Netty 4.2: https://github.com/netty/netty/wiki/Java-24-and-sun.misc.Unsafe#netty-42-and-unsafe

#netty #java

We've released the Netty Incubator QUIC codec version 0.0.73.Final.
This includes an updated version of Quiche which fixes CVE-2025-4820 and CVE-2025-4821.
See the release notes: https://netty.io/news/2025/06/18/quic-0-0-73-Final.html
#netty #java

Got my inception-level of layers of method handles sorted out, so future #Netty versions will be able to allocate native memory by directly calling malloc and free (but note we require that native access is enabled for this to work… otherwise we fall back to shared memory segments, with their high deallocation costs)

I'm adding Java 25 EA to the #Netty build matrix. With Java 24 we had some users upgrade before we even got our build pipeline in place for it! 😅 We're not gonna get caught off guard again. 😤

We've released Netty 4.2.2.Final, which include lots of bug fixes, and adds support for using MemorySegments for allocating native memory on Java 22+
Release notes: https://netty.io/news/2025/06/05/4-2-2.html
#netty #java

We've released Netty 4.1.122.Final. This fixes a number of bugs, and also re-enables our use of sun.misc.Unsafe on Java 24+.
In Netty 4.1.120 we disabled the use of Unsafe by default on Java 24+, but we found that the performance penalty of this was greater than anticipated, so now we are reverting that change.
Release notes: https://netty.io/news/2025/06/03/4-1-122-Final.html
#netty #java

In #Netty 4.1.120 we changed the default for whether to use sun.misc.Unsafe or not, to `false` (to not use Unsafe) when running on Java 24 or greater. The is to avoid getting warnings printed at runtime from JEP 498.

We found out that in practice this had much greater performance impact that expected.

So in Netty 4.1.122 we are reverting that change back to what it was in Netty 4.1.119.

More info here: https://github.com/netty/netty/wiki/Java-24-and-sun.misc.Unsafe

#java

Here's a #Netty pro-tip: if you use TLS on the client-side, always set the endpoint verification algorithm. Even if you wish to disable it, set it to 'null': https://netty.io/4.1/api/io/netty/handler/ssl/SslContextBuilder.html#endpointIdentificationAlgorithm-java.lang.String-

In Netty 4.2 we've changed the default, so endpoint aka. hostname verification is now enabled by default.
If you upgrade from 4.1 to 4.2, this is one of the most likely issues you'll run into.

Spring Reactor. Эволюция сервисов. На пути к реактивности

Это статья описывает опыт миграции традиционного приложения java spring на Spring reactor стек. О специфике разрабатываемой информационной системы, уже подробно рассказывал . Кратко о системе - смешанная сервисно-микросервисная архитектура. Чтобы получить бизнес результат, требуется вызвать микросервис, который вызывает сервис, который вызывает набор микросервисов для формирования ценностного набора данных. Получается цепочка вызовов. Сервисы и микросервисы разрабатывались на традиционном технологическом стеке, без использования реактивного подхода. Мое знакомство с реактивным подходом произошло в 2022 году. Плюсы и минусы я осознавал, как мог. В рамках разрабатываемой системы мне было сложно найти ему точку применения. Тогда сложилось понимание, что в существующих рамках реактивный подход не даст возможности эволюционных изменений. Если его применять, то применять ко всему и сразу, как постулирует реактивный манифест . Даешь революцию! Это было заблуждение. Его я не смог разрушить, даже изучая документацию и статьи. Чего-то релевантного моей ситуации в открытых источниках я найти не мог. Этой статьей постараюсь предложить путь и убедить сомневающихся, что долго раздумывать не стоит. Делайте смелый шаг на пути к реактивному стеку.

https://habr.com/ru/companies/alfastrah/articles/883936/

#spring_boot #webflux #tomcat #asynchronous #nio #netty #reactor #redis #performance #feign

#BSI WID-SEC-2025-0285: [NEU] [mittel] #Red #Hat #Enterprise #Linux (#Quarkus #und #Netty): Mehrere Schwachstellen

Ein anonymer oder lokaler Angreifer kann mehrere Schwachstellen in Red Hat Enterprise Linux ausnutzen, um Dateien zu manipulieren, vertrauliche Informationen preiszugeben und einen Denial-of-Service-Zustand zu verursachen.

https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2025-0285

🚀 We’re excited to share that Nurl has been officially nominated for the 2024 Netty Awards in the Gaming category!

This honor highlights our mission to transform the TTRPG experience. Thank you to our amazing community for the support! 🙌

🔗 Learn more & join our waitlist at:
https://nurl.website/blog/netty-awards-2024-nomination?ref=mstdn_1

#netty #gaming #ttrpg #nurl

@NinaBernstein1 Now that #Israel and #netty have concentrated all #Palestinians in #Rafah, will they next start building #gaschambers?

Разработка высоконагруженного игрового WebSocket сервера на Kotlin, Webflux с поддержкой BattleRoyale/Matchmaking

Всем доброго времени суток. Некоторое время назад мною была написана статья , где я детально описал процесс разработки демо игрового вебсокет сервера. На этот раз, я хотел бы поделиться более усовершенствованным и оптимизированным материалом на Kotlin и реактивном стеке .

https://habr.com/ru/articles/800689/

#java #kotlin #netty #webflux #websocket #gamedevelopment #spring #springboot #разработка_игр #highload