Netty: Mehrere Schwachstellen
WID-SEC-2026-3291 · première publication 10.09.2026 · mise à jour 16.10.2026 · CVSS 8,2
De quoi il s’agit
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Denial-of-Service-Zustände zu verursachen, Sicherheitsmaßnahmen zu umgehen, Request- oder Response-Smuggling durchzuführen sowie Daten offenzulegen oder zu manipulieren.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Denial-of-Service-Zustände zu verursachen
- Sicherheitsmaßnahmen zu umgehen
- Request- oder Response-Smuggling durchzuführen sowie Daten offenzulegen oder zu manipulieren
Suis-je concerné ?
Concernés selon le BSI :
- Red Hat Enterprise Linux
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.2.18.Final
- Open Source Netty <4.1.138.Final
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Netty 4.2.18.Final
- Open Source Netty 4.1.138.Final
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Netty Security Advisories vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-2g37-3h88-55hc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-45h4-vhwh-fmhg vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-495p-pchh-r4mc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-5vh9-c45f-rf7p vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-8352-h356-c9qh vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-8whp-c7w8-2m72 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-cg2g-fxr4-mg8m vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-f64r-x647-cg8w vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-ghg5-c4jg-8q5j vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-h75q-xqrh-59rf vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hcvj-94mj-jp5c vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hfr2-x62w-v49h vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-hmf3-49g9-g7qq vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-j4mg-hqgv-34qc vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-j58c-g352-8h4p vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jgph-cgq3-c627 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jhjp-5q4f-8wr2 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jj3c-mwvr-9g52 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-jqf3-r9ww-c5x8 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-mj35-3qqm-q387 vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-pq4x-537v-r54q vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-pvjx-v7vp-62vq vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-q9pg-8h3j-8hvm vom 2026-09-09 github.com
- GitHub Security Advisory GHSA-r4xx-7fpg-j8xg vom 2026-09-09 github.com
et 10 autres sources dans l’avis original
CVE: CVE-2026-100655, CVE-2026-100656, CVE-2026-100657, CVE-2026-100658, CVE-2026-100659, CVE-2026-100660, CVE-2026-100661, CVE-2026-100662, CVE-2026-100663, CVE-2026-100664, CVE-2026-100665, CVE-2026-89044
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.