CVE-2026-59919 in Netty
Resumen
por VulDB • 2026-07-30
Netty es un framework de aplicaciones de red asíncrono y basado en eventos. En las versiones anteriores a la 4.1.136.Final y la 4.2.16.Final, el codificador HAProxy (HAProxyMessageEncoder) de Netty escribe las direcciones de socket fuente y destino AF_UNIX en el protocolo de texto HAProxy V1 sin validarlas para detectar caracteres CRLF; por lo tanto, un atacante que controle una dirección AF_UNIX puede inyectar secuencias \r\n y dividir la única cabecera PROXY en múltiples líneas. Esto es posible porque el protocolo V1 utiliza CRLF como terminador de línea y, a diferencia de las direcciones IPv4/IPv6 cuyas comprobaciones de formato rechazan implícitamente los caracteres CRLF, las direcciones AF_UNIX solo se validan por su longitud (hasta 108 bytes), lo que permite una segunda cabecera PROXY forjada que suplanta la IP fuente/destino del cliente ante un servidor o equilibrador de carga posterior. El problema está corregido en las versiones 4.1.136.Final y 4.2.16.Final.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.