CVE-2025-58056lowCWE-444

CVE-2025-58056: fallo de gravedad baja en netty

Netty is vulnerable to request smuggling due to incorrect parsing of chunk extensions

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear netty+ Monitorear netty

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

8Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 2.9epss 0.7%
En resumen

Netty acepta terminaciones de línea incorrectas en solicitudes HTTP, permitiendo que atacantes lo engañen para procesar solicitudes de forma diferente a los proxies inversos. Esto puede explotarse para colar solicitudes maliciosas.

Detalle técnico

Netty analiza incorrectamente extensiones de chunk HTTP/1.1 al aceptar LF aislado en lugar de requerir terminadores CRLF. Cuando un proxy inverso interpreta la solicitud de forma diferente debido al manejo de LF, un atacante puede crear una solicitud que parece única para el proxy pero se divide en dos en la capa Netty, permitiendo ataques de contrabando de solicitudes HTTP.

Resumen generado y traducido por IA a partir de la descripción oficial.
Netty is an asynchronous event-driven network application framework for development of maintainable high performance protocol servers and clients. In versions 4.1.124.Final, and 4.2.0.Alpha3 through 4.2.4.Final, Netty incorrectly accepts standalone newline characters (LF) as a chunk-size line terminator, regardless of a preceding carriage return (CR), instead of requiring CRLF per HTTP/1.1 standards. When combined with reverse proxies that parse LF differently (treating it as part of the chunk extension), attackers can craft requests that the proxy sees as one request but Netty processes as two, enabling request smuggling attacks. This is fixed in versions 4.1.125.Final and 4.2.5.Final.
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N/E:P
Productos afectados
netty · netty
CVEs relacionadas — netty

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%