CVE-2026-42579highCWE-1286CWE-20CWE-400CWE-626

CVE-2026-42579: fallo de gravedad alta en netty

Netty: DNS Codec Input Validation Bypass in Netty (Encoder + Decoder)

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear netty+ Monitorear netty

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 1.0%
En resumen

Netty no valida correctamente los nombres de dominio en su procesador de DNS, permitiendo que atacantes envíen respuestas DNS malformadas o inyecten nombres de host maliciosos que eludan las verificaciones de seguridad.

Detalle técnico

El codec DNS en versiones de Netty anteriores a 4.2.13.Final y 4.1.133.Final no cumple las restricciones de nombres de dominio definidas en RFC 1035 durante codificación y decodificación. Los atacantes pueden explotar respuestas DNS maliciosas (vector en decodificador) o nombres de host controlados por el usuario (vector en codificador) para eludir validación de entrada, causando potencial denegación de servicio o comportamiento inesperado.

Resumen generado y traducido por IA a partir de la descripción oficial.
Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, Netty's DNS codec does not enforce RFC 1035 domain name constraints during either encoding or decoding. This creates a bidirectional attack surface: malicious DNS responses can exploit the decoder, and user-influenced hostnames can exploit the encoder. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Productos afectados
netty · netty
CVEs relacionadas — netty

En el mismo producto, de las más peligrosas a las menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%