CVE-2026-56822 in Netty
Zusammenfassung
von VulDB • 29.07.2026
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungsframework. Vor den Versionen 4.1.136.Final und 4.2.16.Final leitet der OcspServerCertificateValidator das SslHandshakeCompletionEvent weiter, bevor die asynchrone OCSP-Validierung abgeschlossen ist. Dies ermöglicht es nachgelagerten Handlern des Clients, sensible Anwendungsdaten (z. B. HTTP-Anfragen) an einen widerrufenen Server zu senden, bevor der Kanal durch den OCSP-Check geschlossen wird. In io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggered ruft der Validator bei Empfang eines SslHandshakeCompletionEvents sofort ctx.fireUserEventTriggered(evt) auf. Anschließend initiiert er eine asynchrone OCSP-Abfrage über OcspClient.query. Da das Handshake-Abschlussereignis unmittelbar weitergeleitet wird, werden nachgelagerte Handler in der Pipeline des Clients darüber informiert, dass der TLS-Handshake erfolgreich war. Sie können daraufhin beginnen, eingehende Anwendungsdaten zu lesen und zu verarbeiten oder ausgehende Daten zu senden. Wenn die OCSP-Antwort später anzeigt, dass das Zertifikat des Servers WIDERRUFEN ist, schließt der Validator den Kanal; bis dahin kann es jedoch bereits zur Offenlegung sensibler Daten an einen widerrufenen Server oder zur Verarbeitung bösartiger Antworten von diesem gekommen sein. Dieses Problem wurde in den Versionen 4.1.136.Final und 4.2.16.Final behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.