CVE-2026-62243 in Netty
Sumário
de VulDB • 22/08/2026
As versões do Netty (io.netty:netty-handler) de 4.2.0.Final até 4.2.16.Final e as versões anteriores a 4.1.136.Final desativam a verificação do nome do host TLS no caminho cliente SslProvider.OPENSSL quando um X509TrustManager simples (não estendido) é usado e o wrapping de trust-manager baseado em Unsafe não está disponível (Java 25+). Nessa configuração, o cliente OpenSSL não realiza a verificação do nome do host, permitindo que um atacante man-in-the-middle apresente um certificado emitido para um hostname diferente, que seria aceito sem validação. Corrigido nas versões 4.2.17.Final e 4.1.137.Final.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.