„`html
Zusammenfassung
CVE-2026-44894 ist eine High-Severity-Anfälligkeit (CVSS 7.5) in Netty, einem populären Network Application Framework für Protokoll-Server und -Clients. Die Schwachstelle betrifft die standardmäßige NoQuicTokenHandler-Implementierung und ermöglicht es Angreifern, die Anti-Amplification-Limits von QUIC zu umgehen. Dies führt zu einer Möglichkeit, Reflexions- und Amplifikationsangriffe gegen Opfer mit gefälschten Quell-IP-Adressen durchzuführen.
Betroffene Systeme
Netty-Versionen vor 4.2.15.Final sind betroffen. Die Schwachstelle tritt auf, wenn Anwendungen keinen benutzerdefinierten tokenHandler konfigurieren und die standardmäßige NoQuicTokenHandler-Implementierung verwendet wird. Alle Systeme, die QUIC-Protokoll mit betroffenen Netty-Versionen betreiben, sind potentiell vulnerable.
Technische Details
Die Anfälligkeit liegt in der fehlerhaften Implementierung der validateToken()-Methode von NoQuicTokenHandler. Sie gibt unconditional 0 zurĂĽck, anstatt -1 fĂĽr ungĂĽltige Token zu returnieren. In QuicheQuicServerCodec.handlePacket() wird ein nicht-negativer RĂĽckgabewert als ‚Token validiert, ODCID beginnt bei Offset 0‘ interpretiert.
Dies führt dazu, dass der Server quiche_accept aufruft, als hätte die Client-Adresse bereits durch einen Retry-Handshake validiert worden. Gemäß RFC 9000 §8.1 hebt eine validierte Adresse das 3×-Anti-Amplification-Limit auf. Ein Angreifer kann somit beliebige Non-Empty-Token-Bytes in Initial-Paketen mit gefälschter Opfer-IP einfügen und erzwingt damit, dass der Netty-Server vollständige Handshake-Flights (Zertifikate, etc.) ohne Amplifikationsbegrenzung zum Opfer reflektiert.
Empfohlene Massnahmen
Sofortiges Upgrade auf Netty Version 4.2.15.Final oder neuer. Als temporäre Mitigation kann eine benutzerdefinierte tokenHandler-Implementierung eingesetzt werden, die korrektes Token-Validierungsverhalten (Rückgabe von -1 für ungültige Tokens) implementiert.
Bewertung
Mit CVSS 7.5 und der Möglichkeit von Amplifikationsangriffen gegen Dritte ist ein schnelles Patching erforderlich. Die Anfälligkeit erfordert Netzwerkzugriff, ermöglicht aber erhebliche DoS-Auswirkungen.
„`