CVE-2026-56822 in Netty
요약
\~에 의해 VulDB • 2026. 07. 29.
Netty는 비동기적이고 이벤트 기반의 네트워크 애플리케이션 프레임워크입니다. 버전 4.1.136.Final 및 4.2.16.Final 이전에서는 OcspServerCertificateValidator가 비동기 OCSP 검증이 완료되기 전에 SslHandshakeCompletionEvent를 전달합니다. 이로 인해 클라이언트의 하류 핸들러는 채널이 OCSP 검사에 의해 닫히기 전에 취소된 서버로 민감한 애플리케이션 데이터(예: HTTP 요청)를 보낼 수 있습니다. io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggered에서 SslHandshakeCompletionEvent가 수신되면, 검증자는 즉시 ctx.fireUserEventTriggered(evt)를 호출합니다. 그런 다음 OcspClient.query를 사용하여 비동기 OCSP 쿼리를 시작합니다. 핸드셰이크 완료 이벤트가 즉시 전달되므로 클라이언트의 파이프라인에 있는 하류 핸들러는 TLS 핸드셰이크가 성공적으로 완료되었음을 통보받습니다. 이후 그들은 들어오는 애플리케이션 데이터를 읽고 처리하거나 나가는 데이터를 보내기 시작할 수 있습니다. 나중에 OCSP 응답에서 서버의 인증서가 취소(REVOKED)된 것으로 나타날 경우, 검증자는 채널을 닫지만, 이 시점에는 클라이언트가 이미 민감한 데이터를 취소된 서버로 유출했거나 해당 서버로부터 악성 응답을 처리했을 가능성이 있습니다. 이 문제는 버전 4.1.136.Final 및 4.2.16.Final에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.