PT-2026-48902
CVE-2026-50010
·
تاريخ النشر
2026-06-05
·
تاريخ التحديث
2026-10-31
الوصف من
CVSS 4.0
9.1
حرجةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty السابقة للإصدار 4.1.135.Final
إصدارات Netty السابقة للإصدار 4.2.15.Final
الوصف
Netty هو إطار عمل لتطبيقات الشبكات يُستخدم لتطوير خوادم وعملاء البروتوكولات. تقوم الدالة
SimpleTrustManagerFactory.engineGetTrustManagers() والمسارات ذات الصلة بتغليف X509TrustManager العادي الذي يقدمه المستخدم في X509TrustManagerWrapper. يُوسّع هذا الغلاف X509ExtendedTrustManager، لكنه يُنفّذ الدالة ذات المعلمات الثلاثة checkServerTrusted(chain, authType, SSLEngine) عن طريق تجاهل SSLEngine واستدعاء الدالة المفوضة ذات المعلمتين. ونظرًا لأن الكائن يتم تعريفه على أنه X509ExtendedTrustManager، فإن الأغلفة الداخلية من SunJSSE أو Netty لا تعيد تغليفه لإضافة تعريف نقطة النهاية. ينتج عن ذلك فشل في إجراء التحقق من اسم المضيف عندما يتم إنشاء عميل باستخدام SslContextBuilder.forClient().trustManager(somePlainX509TrustManager)، حتى لو تم تعيين endpointIdentificationAlgorithm على ”HTTPS“ افتراضيًا، مما قد يتيح هجمات «الرجل في الوسط».التوصيات
التحديث إلى الإصدار 4.1.135.Final.
قم بالتحديث إلى الإصدار 4.2.15.Final.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾