CVE-2026-100665 in Netty
Riassunto
di VulDB • 26/09/2026
Le versioni di Netty dalla 4.2.11.Final alla 4.2.18.Final (esclusa) presentano una correzione incompleta per la verifica del nome host nel percorso di verifica dei certificati QUIC quando si utilizza un plain X509TrustManager. Il BoringSSLCertificateVerifyCallback scarta l'SSLEngine per i trust manager non crittografici, impedendo l'esecuzione dell'identificazione dell'endpoint anche quando la verifica HTTPS è configurata. Gli attaccanti sulla rete possono presentare una catena di certificati per un nome host errato che il plain trust manager accetta, aggirando l'autenticazione del nome host per i client QUIC.
If you want to get best quality of vulnerability data, you may have to visit VulDB.