PT-2026-48901 · Maven+1 · Io.Netty:Netty-Codec-Classes-Quic+1

Violetagg

·

Publicado

2026-06-12

·

Atualizado

2026-06-15

·

CVE-2026-50009

CVSS v3.1

4.8

Média

VetorAV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L
Nome do Software Vulnerável e Versões Afetadas Netty versões anteriores a 4.2.15.Final
Description O Netty QUIC expõe o token de reset sem estado (stateless reset token) no caminho da rede ao utilizar os geradores padrão de ID de conexão e de token de reset baseados em HMAC. Especificamente, o HmacSignQuicConnectionIdGenerator e o HmacSignQuicResetTokenGenerator avaliam HMAC-SHA256 usando a mesma chave estática global da JVM io.netty.handler.codec.quic.Hmac. Durante a rotação do CID de origem na função newSourceConnectionIds(), o CID de origem atual do servidor é usado para produzir o próximo CID. Se o comprimento do CID for de 16 bytes ou mais, os primeiros 16 bytes do novo CID são idênticos ao token de reset sem estado do CID anterior. Como o CID é transmitido nos cabeçalhos QUIC, um invasor no caminho da rede pode observar esses cabeçalhos para derivar o token de reset e realizar um Ataque de Negação de Serviço (DoS) enviando um pacote de Stateless Reset falsificado.
Recommendations Atualizar para a versão 4.2.15.Final.

Correção

Use of Insufficiently Random Values

Information Disclosure

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-50009
GHSA-CQ4Q-CV5G-R8Q5

Produtos afetados

Io.Netty:Netty-Codec-Classes-Quic
Netty