CVE-2026-42579highCWE-1286CWE-20CWE-400CWE-626

CVE-2026-42579: falha de alta gravidade em netty

Netty: DNS Codec Input Validation Bypass in Netty (Encoder + Decoder)

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar netty+ Monitorar netty

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.0%
Em resumo

O Netty não valida adequadamente nomes de domínio no seu processador de DNS, permitindo que atacantes enviem respostas DNS malformadas ou injetem nomes de host maliciosos que burlam as verificações de segurança.

Detalhe técnico

O codec DNS no Netty anterior às versões 4.2.13.Final e 4.1.133.Final não aplica as restrições de nomes de domínio definidas na RFC 1035 durante codificação e decodificação. Atacantes podem explorar respostas DNS maliciosas (vetor de ataque no decodificador) ou nomes de host controlados por usuários (vetor no codificador) para contornar validação de entrada, causando potencial negação de serviço ou comportamento inesperado.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty is an asynchronous, event-driven network application framework. Prior to 4.2.13.Final and 4.1.133.Final, Netty's DNS codec does not enforce RFC 1035 domain name constraints during either encoding or decoding. This creates a bidirectional attack surface: malicious DNS responses can exploit the decoder, and user-influenced hostnames can exploit the encoder. This vulnerability is fixed in 4.2.13.Final and 4.1.133.Final.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
netty · netty
CVEs relacionadas — netty

No mesmo produto, das mais perigosas para as menos.

CVE-2021-21409MEDIUMPossible request smuggling in HTTP/2 due missing validation of content-lengthEPSS 4.9%CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%