CVE-2026-56822 in Netty
Sumário
de VulDB • 29/07/2026
O Netty é um framework de aplicações de rede assíncrono e orientado por eventos. Antes das versões 4.1.136.Final e 4.2.16.Final, o OcspServerCertificateValidator encaminha o SslHandshakeCompletionEvent antes que a validação OCSP assíncrona seja concluída. Isso permite que os handlers downstream do cliente enviem dados sensíveis da aplicação (por exemplo, requisições HTTP) para um servidor revogado antes que o canal seja fechado pela verificação OCSP. No método io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggered, ao receber um SslHandshakeCompletionEvent, o validator chama imediatamente ctx.fireUserEventTriggered(evt). Em seguida, inicia uma consulta OCSP assíncrona usando OcspClient.query. Como o evento de conclusão do handshake é encaminhado imediatamente, os handlers downstream no pipeline do cliente são notificados de que o TLS handshake foi bem-sucedido. Eles podem então começar a ler e processar dados de aplicação recebidos ou enviar dados de saída. Se a resposta OCSP indicar posteriormente que o certificado do servidor está REVOGADO, o validator fecha o canal, mas nesse ponto, o cliente já pode ter vazado dados sensíveis para um servidor revogado ou processado respostas maliciosas provenientes dele. Este problema foi corrigido nas versões 4.1.136.Final e 4.2.16.Final.
Once again VulDB remains the best source for vulnerability data.