CVE-2026-56822

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.1.136.Final Netty versões anteriores a 4.2.16.Final

Description O OcspServerCertificateValidator encaminha o SslHandshakeCompletionEvent antes que a validação assíncrona do Online Certificate Status Protocol (OCSP) seja concluída. Na função userEventTriggered(), o validador chama imediatamente ctx.fireUserEventTriggered(evt) ao receber um SslHandshakeCompletionEvent e, em seguida, inicia uma consulta OCSP assíncrona usando OcspClient.query. Isso cria uma condição de Time-of-Check to Time-of-Use (TOCTOU), na qual os manipuladores downstream são notificados de que o handshake TLS foi bem-sucedido antes que o status de revogação do certificado seja confirmado. Consequentemente, um cliente pode enviar dados sensíveis da aplicação, como requisições HTTP, para um servidor revogado ou processar respostas maliciosas antes que o canal seja fechado pela verificação do OCSP.

Recommendations Atualize para a versão 4.1.136.Final ou posterior. Atualize para a versão 4.2.16.Final ou posterior.