CVE-2026-100665 in Netty
要約
〜によって VulDB • 2026年09月26日
Nettyの4.2.11.Finalより前で4.2.18.Finalに至るバージョンには、プレーンなX509TrustManagerを使用する場合にQUIC証明書検証パスにおいて不完全なホスト名検証の修正が含まれています。BoringSSLCertificateVerifyCallbackは、プレーントラストマネージャーに対してSSLEngineを破棄するため、HTTPS検証が構成されている場合でもエンドポイント識別処理が実行されません。ネットワーク経路上の攻撃者は、プレーンなトラストマネージャによって受け入れられる誤ったホスト名に対する証明書チェーン提示を行うことで、QUICクライアントにおけるホスト名の認証を回避できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.