Netty: Mehrere Schwachstellen
WID-SEC-2026-3291 · primera publicación 10.09.2026 · actualizado 16.10.2026 · CVSS 8,2
De qué se trata
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Denial-of-Service-Zustände zu verursachen, Sicherheitsmaßnahmen zu umgehen, Request- oder Response-Smuggling durchzuführen sowie Daten offenzulegen oder zu manipulieren.
¿En qué condiciones?
A través de la red y sin iniciar sesión. Es la combinación más peligrosa: los atacantes pueden rastrear automáticamente los dispositivos accesibles.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- Denial-of-Service-Zustände zu verursachen
- Sicherheitsmaßnahmen zu umgehen
- Request- oder Response-Smuggling durchzuführen sowie Daten offenzulegen oder zu manipulieren
¿Me afecta?
Afectados según el BSI:
- Red Hat Enterprise Linux
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.2.18.Final
- Open Source Netty <4.1.138.Final
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source Netty 4.2.18.Final
- Open Source Netty 4.1.138.Final
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Netty Security Advisories vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-2g37-3h88-55hc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-45h4-vhwh-fmhg vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-495p-pchh-r4mc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-5vh9-c45f-rf7p vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-8352-h356-c9qh vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-8whp-c7w8-2m72 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-cg2g-fxr4-mg8m vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-f64r-x647-cg8w vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-ghg5-c4jg-8q5j vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-h75q-xqrh-59rf vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hcvj-94mj-jp5c vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hfr2-x62w-v49h vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hmf3-49g9-g7qq vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-j4mg-hqgv-34qc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-j58c-g352-8h4p vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jgph-cgq3-c627 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jhjp-5q4f-8wr2 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jj3c-mwvr-9g52 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jqf3-r9ww-c5x8 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-mj35-3qqm-q387 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-pq4x-537v-r54q vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-pvjx-v7vp-62vq vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-q9pg-8h3j-8hvm vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-r4xx-7fpg-j8xg vom 2026-09-09 github.com
y 10 fuentes más en el aviso original
CVE: CVE-2026-100655, CVE-2026-100656, CVE-2026-100657, CVE-2026-100658, CVE-2026-100659, CVE-2026-100660, CVE-2026-100661, CVE-2026-100662, CVE-2026-100663, CVE-2026-100664, CVE-2026-100665, CVE-2026-89044
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.