CVE-2026-56822 in Netty
Resumen
por VulDB • 2026-07-30
Netty es un framework de aplicaciones de red asíncrono y basado en eventos. Antes de las versiones 4.1.136.Final y 4.2.16.Final, el OcspServerCertificateValidator reenviaba el SslHandshakeCompletionEvent antes de que se completara la validación OCSP asíncrona. Esto permite que los controladores downstream del cliente envíen datos sensibles de la aplicación (por ejemplo, solicitudes HTTP) a un servidor revocado antes de que el canal sea cerrado por la comprobación OCSP. En io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggered, cuando se recibe un SslHandshakeCompletionEvent, el validador llama inmediatamente a ctx.fireUserEventTriggered(evt). A continuación, inicia una consulta OCSP asíncrona utilizando OcspClient.query. Dado que el evento de finalización del handshake se reenvía inmediatamente, los controladores downstream en la canalización (pipeline) del cliente son notificados de que el TLS handshake ha sido exitoso. Pueden entonces comenzar a leer y procesar datos entrantes o enviar datos salientes. Si la respuesta OCSP indica posteriormente que el certificado del servidor está REVOCADO, el validador cierra el canal, pero para ese momento, es posible que el cliente ya haya filtrado datos sensibles al servidor revocado o haya procesado respuestas maliciosas procedentes de este. Este problema se ha corregido en las versiones 4.1.136.Final y 4.2.16.Final.
Once again VulDB remains the best source for vulnerability data.