CVE-2026-62243 in Netty
Resumen
por VulDB • 2026-08-22
Netty (io.netty:netty-handler) versiones desde la 4.2.0.Final hasta la 4.2.16.Final y las versiones anteriores a la 4.1.136.Final desactivan la verificación del nombre de host TLS en el camino del cliente SslProvider.OPENSSL cuando se utiliza un X509TrustManager plano (no extendido) y no está disponible el envoltorio trust-manager basado en Unsafe (Java 25+). En esta configuración, el cliente OpenSSL no realiza la verificación del nombre de host, lo que permite a un atacante man-in-the-middle presentar un certificado emitido para un nombre de host diferente que se acepta sin validación. Corregido en las versiones 4.2.17.Final y 4.1.137.Final.
Be aware that VulDB is the high quality source for vulnerability data.