CVE-2026-59919

Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.2.12.Final

Descrição O Netty apresenta um problema onde sequências CRLF (Carriage Return Line Feed) não são devidamente neutralizadas na implementação do protocolo HAProxy V1. Especificamente, o io.netty.handler.codec.haproxy.HAProxyMessageEncoder grava endereços de socket AF UNIX diretamente na saída sem validá-los quanto a caracteres CRLF. Enquanto endereços IPv4 e IPv6 são validados, endereços AF UNIX passam apenas por uma verificação de comprimento na função checkAddress() da classe io.netty.handler.codec.haproxy.HAProxyMessage.

Como o protocolo V1 utiliza CRLF como terminador de linha, um invasor pode injetar caracteres CRLF em um endereço AF UNIX para dividir um único cabeçalho PROXY em várias linhas. Isso permite a injeção de um segundo cabeçalho do protocolo PROXY, que pode ser utilizado para realizar a falsificação de IP do cliente (client IP spoofing), enganando o servidor backend sobre a origem da conexão.

Recomendações Atualize o Netty para a versão 4.2.12.Final ou posterior. Como medida de mitigação temporária, restrinja o uso de endereços AF UNIX que contenham entrada controlada pelo usuário ao utilizar o io.netty.handler.codec.haproxy.HAProxyMessageEncoder.