PT-2026-99336 · Netty · Netty
CVSS v4.0
8.7
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Netty versões 4.2.11.Final até 4.2.17.Final
Descrição
Existe uma correção incompleta de verificação de nome de host no caminho de verificação de certificado QUIC ao utilizar um
X509TrustManager simples. O BoringSSLCertificateVerifyCallback descarta o SSLEngine para gerenciadores de confiança simples, impedindo que a identificação do endpoint seja executada mesmo quando a verificação HTTPS está configurada. Isso permite que atacantes no caminho da rede apresentem uma cadeia de certificados para um nome de host incorreto que o gerenciador de confiança simples aceita, ignorando a autenticação de nome de host para clientes QUIC.Recomendações
Atualize o Netty para a versão 4.2.18.Final.
Exploit
Correção
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Netty