CVE-2026-100665
Açıklama
4.2.11.Final ile 4.2.18.Final arasındaki Netty sürümleri, düz bir X509TrustManager kullanıldığında QUIC sertifika doğrulama yolunda eksik bir ana bilgisayar adı (hostname) doğrulama düzeltmesi içermektedir. BoringSSLCertificateVerifyCallback, düz güven yöneticileri için SSLEngine'i devre dışı bırakmakta ve bu durum HTTPS doğrulaması yapılandırılmış olsa bile uç nokta tanımlamasının çalışmasını engellemektedir. Ağ yolu üzerindeki saldırganlar, düz güven yöneticisinin kabul edeceği yanlış bir ana bilgisayar adına ait sertifika zinciri sunarak QUIC istemcileri için ana bilgisayar adı kimlik doğrulamasını atlayabilirler.
Nasıl düzeltilir
- netty netty4.2.18.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | 4.2.11.Final ≤ v < 4.2.18.Final | 4.2.18.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.