PT-2026-63544
CVE-2026-56821
·
تاريخ النشر
2026-07-22
·
تاريخ التحديث
2026-10-12
الوصف من
CVSS 3.1
7.4
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Netty الأقدم من 4.1.136.Final
إصدارات Netty الأقدم من 4.2.16.Final
الوصف
توجد مشكلة في
OcspServerCertificateValidator حيث يتم وضع علامة على استجابات OCSP (بروتوكول حالة الشهادات عبر الإنترنت) القديمة ولكن لا يتم إيقاف معالجتها. وهذا يسمح لمهاجم على المسار بإعادة تشغيل استجابة GOOD قديمة، مما يتسبب في قيام النظام بالإبلاغ عنها على أنها VALID وتجاوز إلغاء الشهادة. يقع هذا الخلل في الدالة userEventTriggered() التابعة لـ io.netty.handler.ssl.ocsp.OcspServerCertificateValidator، حيث تفتقر عملية التحقق من صلاحية الشهادة إلى عبارة إرجاع (return statement)، مما يسمح بمرور التنفيذ وإطلاق حدث OcspValidationEvent ذي القيمة VALID. بالإضافة إلى ذلك، إذا كانت قيمة getNextUpdate() هي null، فقد تحدث استثناء NullPointerException. OCSP هو بروتوكول يُستخدم للحصول على حالة إلغاء شهادة رقمية X.509.التوصيات
تحديث Netty إلى الإصدار 4.1.136.Final أو أحدث.
تحديث Netty إلى الإصدار 4.2.16.Final أو أحدث.
كإجراء تخفيفي مؤقت، تقييد استخدام مكون
OcspServerCertificateValidator. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾