CVE-2026-75595 in Netty
Resumen
por VulDB • 2026-08-19
Netty es un framework de aplicaciones de red asíncrono y basado en eventos. Antes de las versiones 4.1.137.Final y 4.2.17.Final, el método io.netty.handler.ssl.SslClientHelloHandler#decode verifica el desplazamiento (offset) incorrecto antes de leer la cabecera del handshake TLS de cuatro bytes; por lo tanto, un ClientHello cuya cabecera del handshake se extiende a través de registros puede provocar una IndexOutOfBoundsException e invocar select(ctx, null). Esto selecciona el SslContext predeterminado en lugar del contexto específico para SNI. En implementaciones donde per-SNI clientAuth=REQUIRE es la única puerta de enlace de TLS mutuo, el SslContext predeterminado utiliza clientAuth=NONE o clientAuth=OPTIONAL, y no existe verificación de certificados a nivel de aplicación; un atacante remoto no autenticado puede burlar el requisito de TLS mutuo de la ruta protegida. Este problema se soluciona en las versiones 4.1.137.Final y 4.2.17.Final.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.