Netty: Mehrere Schwachstellen
WID-SEC-2026-2356 · première publication 15.07.2026 · mise à jour 26.10.2026 · CVSS 8,1
De quoi il s’agit
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Sicherheitsprüfungen zu umgehen, Anfragen oder Header zu manipulieren, Zertifikatsprüfungen zu unterlaufen sowie einen Denial of Service zu verursachen.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Sicherheitsprüfungen zu umgehen
- Anfragen oder Header zu manipulieren
- Zertifikatsprüfungen zu unterlaufen sowie einen Denial of Service zu verursachen
Suis-je concerné ?
Concernés selon le BSI :
- IBM DB2
- Red Hat Enterprise Linux
- IBM License Metric Tool
- SUSE Linux
- Open Source Netty <4.2.16
- Open Source Netty <4.1.136
- IBM App Connect Enterprise for Manufactoring
- IBM SPSS Modeler 19.0.0.0
- IBM SPSS Analytic Server
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Netty 4.2.16
- Open Source Netty 4.1.136
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- GitHub Security Advisory GHSA-4qhr-g3c6-fcfx vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-272m-gcwp-mpwg vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-3g8r-4pfx-jmfh vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-4mp9-239f-g9hg vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-q4f6-jm68-57ww vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-c69g-56f8-xwqj vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-558v-64gr-wgg4 vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-6jqx-86gh-f27w vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-93wv-jw9v-4972 vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-g7hg-vrcf-mvmr vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-gcjf-9mgh-3p7g vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-hpcc-26xq-25fv vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-jppx-w49h-x2qq vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-mvh2-crg5-v77c vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-q6cq-mhr2-jmr5 vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-vhch-2wf3-m8rp vom 2026-07-14 github.com
- GitHub Security Advisory GHSA-wc96-39fc-566f vom 2026-07-14 github.com
- Red Hat Security Advisory RHSA-2026:48118 vom 2026-07-29 access.redhat.com
- Red Hat Security Advisory RHSA-2026:47189 vom 2026-07-29 access.redhat.com
- Red Hat Security Advisory RHSA-2026:47172 vom 2026-07-30 access.redhat.com
- SUSE Security Update SUSE-SU-2026:3482-1 vom 2026-08-04 lists.suse.com
- IBM Security Bulletin 7282895 vom 2026-08-07 www.ibm.com
- Red Hat Security Advisory RHSA-2026:54435 vom 2026-08-12 access.redhat.com
- Red Hat Security Advisory RHSA-2026:54622 vom 2026-08-13 access.redhat.com
- IBM Security Bulletin 7285407 vom 2026-08-27 www.ibm.com
et 13 autres sources dans l’avis original
CVE: CVE-2026-44891, CVE-2026-55831, CVE-2026-55833, CVE-2026-55851, CVE-2026-56745, CVE-2026-56816, CVE-2026-56817, CVE-2026-56819, CVE-2026-56820, CVE-2026-56821, CVE-2026-56822, CVE-2026-59898, CVE-2026-59899, CVE-2026-59900, CVE-2026-59901, CVE-2026-59920, CVE-2026-59921
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.