CVE-2026-56821

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.136.Final Netty versões anteriores a 4.2.16.Final

Description Existe um problema no OcspServerCertificateValidator onde respostas OCSP (Online Certificate Status Protocol) desatualizadas são sinalizadas, mas o processamento não é interrompido. Isso permite que um invasor no caminho (on-path) retransmita uma resposta GOOD obsoleta, fazendo com que o sistema a reporte como VALID e ignore a revogação de um certificado. A falha está localizada na função userEventTriggered() de io.netty.handler.ssl.ocsp.OcspServerCertificateValidator, onde a verificação de atualidade não possui um comando de retorno, permitindo que a execução continue e dispare um OcspValidationEvent como VALID. Além disso, se getNextUpdate() for null, pode ocorrer uma NullPointerException. OCSP é um protocolo utilizado para obter o status de revogação de um certificado digital X.509.

Recommendations Atualize o Netty para a versão 4.1.136.Final ou posterior. Atualize o Netty para a versão 4.2.16.Final ou posterior. Como medida de mitigação temporária, restrinja o uso do componente OcspServerCertificateValidator.