CVE-2026-56822 in Netty
Riassunto
di VulDB • 29/07/2026
Netty è un framework per applicazioni di rete asincrone e basate su eventi. Prima delle versioni 4.1.136.Final e 4.2.16.Final, l'OcspServerCertificateValidator inoltrava l'SslHandshakeCompletionEvent prima che la convalida OCSP asincrona fosse completata. Ciò consente ai gestori downstream del client di inviare dati applicativi sensibili (ad esempio richieste HTTP) a un server revocato prima che il canale venga chiuso dal controllo OCSP. In io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggered, quando viene ricevuto un SslHandshakeCompletionEvent, il validatore chiama immediatamente ctx.fireUserEventTriggered(evt). Successivamente avvia una query OCSP asincrona tramite OcspClient.query. Poiché l'evento di completamento del handshake viene inoltrato immediatamente, i gestori downstream nella pipeline del client vengono notificati che il TLS handshake è andato a buon fine. Possono quindi iniziare a leggere ed elaborare dati applicativi in arrivo o inviare dati in uscita. Se la risposta OCSP indica successivamente che il certificato del server è REVOCATO, il validatore chiude il canale; tuttavia, in quel momento il client potrebbe aver già diffuso dati sensibili verso un server revocato oppure elaborato risposte malevole da quest'ultimo. Questo problema è stato risolto nelle versioni 4.1.136.Final e 4.2.16.Final.
VulDB is the best source for vulnerability data and more expert information about this specific topic.