Netty - CVE-2026-56821
Date de publication :
Il s'agit d'une vérification incorrecte de la révocation de certificat dans le composant OcspServerCertificateValidator de Netty.
Netty est un framework réseau asynchrone et événementiel pour Java, utilisé pour développer des serveurs et clients réseau à haute performance.
Le validateur signale une réponse OCSP périmée mais poursuit son traitement : une réponse « GOOD » expirée est donc toujours rapportée comme VALIDE. Un attaquant en position d'interception (on-path) peut rejouer une ancienne réponse OCSP « GOOD » pour contourner la révocation d'un certificat révoqué depuis, et faire ainsi accepter un certificat qui ne devrait plus l'être.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Contournement de la politique de sécurité
Exploitation
CWE-299 : Improper Check for Certificate Revocation
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Élevée
• Privilèges nécessaires pour réaliser l'attaque : Aucun
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.