Netty: Mehrere Schwachstellen
WID-SEC-2026-3477 · première publication 21.09.2026 · mise à jour 16.10.2026 · CVSS 8,2
De quoi il s’agit
Netty ist ein asynchrones, ereignisgesteuertes Netzwerk-Anwendungs-Framework für die schnelle Entwicklung von wartbaren, hochleistungsfähigen Protokollservern und -clients. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Sicherheitsvorkehrungen zu umgehen, Daten zu manipulieren, vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- Sicherheitsvorkehrungen zu umgehen
- Daten zu manipulieren
- vertrauliche Informationen offenzulegen oder einen Denial-of-Service-Zustand herbeizuführen
Suis-je concerné ?
Concernés selon le BSI :
- Red Hat Enterprise Linux
- IBM SPSS Modeler
- Red Hat Enterprise Linux Quarkus
- SUSE Linux
- SUSE openSUSE
- IBM SPSS Analytic Server
- Open Source Netty <4.1.138.Final
- Open Source Netty <4.2.18.Final
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- Open Source Netty 4.1.138.Final
- Open Source Netty 4.2.18.Final
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Red Hat Bugtracker 2536887 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-mrqx-2r72-2c2x vom 2026-09-20 github.com
- Red Hat Bugtracker 2536891 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-c593-fgx2-8jj6 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536895 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9rhx-p462-pg2j vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-xvr4-c5q3-q5wm vom 2026-09-20 github.com
- GitHub Security Advisory GHSA-wfpc-rccm-rq4m vom 2026-09-20 github.com
- Red Hat Bugtracker 2536932 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-258J-9683-M467 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536949 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-7p33-hhxj-4qcr vom 2026-09-20 github.com
- Red Hat Bugtracker 2536951 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-MV3R-X43M-8MR7 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536953 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-74QM-9QC5-FF4G vom 2026-09-20 github.com
- Red Hat Bugtracker 2536952 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-6F4P-H3XM-C8RC vom 2026-09-20 github.com
- Red Hat Bugtracker 2536954 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-9mrj-55p4-qwf4 vom 2026-09-20 github.com
- Red Hat Bugtracker 2536955 vom 2026-09-20 bugzilla.redhat.com
- Red Hat Bugtracker 2536961 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-ffvg-hfwh-x2pp vom 2026-09-20 github.com
- Red Hat Bugtracker 2536962 vom 2026-09-20 bugzilla.redhat.com
- GitHub Security Advisory GHSA-jmx3-m859-mrgc vom 2026-09-20 github.com
et 17 autres sources dans l’avis original
CVE: CVE-2026-93488, CVE-2026-93491, CVE-2026-93492, CVE-2026-93493, CVE-2026-93494, CVE-2026-93558, CVE-2026-93560, CVE-2026-93561, CVE-2026-93562, CVE-2026-93563, CVE-2026-93564, CVE-2026-93565, CVE-2026-93566, CVE-2026-93567, CVE-2026-93568, CVE-2026-93569, CVE-2026-93572, CVE-2026-93573, CVE-2026-93574, CVE-2026-93575 …
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.