CVE-2026-50010
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność w Netty powoduje, że niestandardowy X509TrustManager dostarczony przez użytkownika jest opakowywany w X509TrustManagerWrapper, który implementuje X509ExtendedTrustManager, ale pomija weryfikację nazwy hosta (endpoint identification). W rezultacie, nawet przy domyślnym ustawieniu endpointIdentificationAlgorithm="HTTPS" w Netty 4.2, klient nie sprawdza poprawności certyfikatu serwera względem nazwy hosta.
Ocena ryzyka
Organizacja narażona jest na ataki typu man-in-the-middle (MITM), ponieważ klient TLS nie weryfikuje, czy certyfikat serwera odpowiada oczekiwanej nazwie hosta. Może to prowadzić do przechwycenia lub modyfikacji przesyłanych danych.
Rekomendacja
Należy niezwłocznie zaktualizować Netty do wersji 4.1.135.Final lub 4.2.15.Final. Jeśli aktualizacja nie jest możliwa, należy ręcznie zapewnić weryfikację nazwy hosta w kodzie klienta.
Oryginalny opis (angielski, źródło NVD)
Netty is a network application framework for development of protocol servers and clients. Prior to versions 4.1.135.Final and 4.2.15.Final, SimpleTrustManagerFactory.engineGetTrustManagers() and related paths wrap any user-supplied plain X509TrustManager in X509TrustManagerWrapper, which extends X509ExtendedTrustManager but implements the 3-arg checkServerTrusted(chain, authType, SSLEngine) by discarding the SSLEngine and calling the 2-arg delegate. Because the object now IS an X509ExtendedTrustManager, neither SunJSSE's internal AbstractTrustManagerWrapper nor Netty's own OpenSslX509TrustManagerWrapper will re-wrap it to add endpoint-identification. Consequently, even though Netty 4.2 sets endpointIdentificationAlgorithm="HTTPS" by default, a client built with `SslContextBuilder.forClient().trustManager(somePlainX509TrustManager)` performs no hostname verification at all. Versions 4.1.135.Final and 4.2.15.Final patch the issue.