Netty: Mehrere Schwachstellen
WID-SEC-2026-3291 · erstmals 10.09.2026 · aktualisiert 16.10.2026 · CVSS 8,2
Worum es geht
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Denial-of-Service-Zustände zu verursachen, Sicherheitsmaßnahmen zu umgehen, Request- oder Response-Smuggling durchzuführen sowie Daten offenzulegen oder zu manipulieren.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Denial-of-Service-Zustände zu verursachen
- Sicherheitsmaßnahmen zu umgehen
- Request- oder Response-Smuggling durchzuführen sowie Daten offenzulegen oder zu manipulieren
Bin ich betroffen?
Betroffen sind laut BSI:
- Red Hat Enterprise Linux
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.2.18.Final
- Open Source Netty <4.1.138.Final
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- Open Source Netty 4.2.18.Final
- Open Source Netty 4.1.138.Final
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Netty Security Advisories vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-2g37-3h88-55hc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-45h4-vhwh-fmhg vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-495p-pchh-r4mc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-5vh9-c45f-rf7p vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-8352-h356-c9qh vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-8whp-c7w8-2m72 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-cg2g-fxr4-mg8m vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-f64r-x647-cg8w vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-ghg5-c4jg-8q5j vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-h75q-xqrh-59rf vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hcvj-94mj-jp5c vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hfr2-x62w-v49h vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hmf3-49g9-g7qq vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-j4mg-hqgv-34qc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-j58c-g352-8h4p vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jgph-cgq3-c627 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jhjp-5q4f-8wr2 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jj3c-mwvr-9g52 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jqf3-r9ww-c5x8 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-mj35-3qqm-q387 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-pq4x-537v-r54q vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-pvjx-v7vp-62vq vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-q9pg-8h3j-8hvm vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-r4xx-7fpg-j8xg vom 2026-09-09 github.com
und 10 weitere Quellen in der Originalmeldung
CVE: CVE-2026-100655, CVE-2026-100656, CVE-2026-100657, CVE-2026-100658, CVE-2026-100659, CVE-2026-100660, CVE-2026-100661, CVE-2026-100662, CVE-2026-100663, CVE-2026-100664, CVE-2026-100665, CVE-2026-89044
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.