🟠 CVE-2026-62243: High Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-62243 betrifft die Netty-Bibliothek und führt zu einer Deaktivierung der TLS-Hostname-Verifikation unter bestimmten Bedingungen. Dies ermöglicht Man-in-the-Middle-Angriffe, bei denen Angreifer Zertifikate für abweichende Hostnamen präsentieren können, die ohne Validierung akzeptiert werden. Der Schweregrad wird mit „High“ (CVSS 7.5) bewertet.

Betroffene Systeme

Betroffen sind folgende Versionen von io.netty:netty-handler:

• Versionen 4.2.0.Final bis 4.2.16.Final
• Versionen bis 4.1.136.Final

Die Schwachstelle tritt speziell auf, wenn SslProvider.OPENSSL als Client-Implementierung verwendet wird und ein einfacher (nicht-erweiterter) X509TrustManager ohne Unsafe-basiertes Trust-Manager-Wrapping eingesetzt wird. Dies ist insbesondere unter Java 25+ relevant.

Technische Details

Der defekte Code betrifft die OpenSSL-Client-Implementierung in Netty. Bei Verwendung eines Plain-X509TrustManagers wird die Hostname-Verifikation nicht durchgeführt. Das Problem entstammt der Unfähigkeit, Unsafe-basiertes Trust-Manager-Wrapping durchzuführen, was in neueren Java-Versionen nicht mehr möglich ist.

Ein Angreifer kann sich zwischen Client und Server positionieren und ein gültiges Zertifikat für einen anderen Hostname präsentieren. Ohne Hostname-Verifikation wird dieses Zertifikat akzeptiert, wodurch der verschlüsselte Datenverkehr kompromittiert wird.

Empfohlene Massnahmen

Sofortige Massnahmen:

• Update auf Netty 4.2.17.Final oder 4.1.137.Final durchführen
• Bestände auf betroffene Versionen überprüfen
• Abhängigkeiten in Build-Tools (Maven, Gradle) aktualisieren

Präventivmassnahmen:

• Extended-X509TrustManager verwenden, falls möglich
• Regelmässige Dependency-Updates durchführen
• Netzwerk-Segmentierung implementieren

Bewertung

CVSS-Score: 7.5 (High)
Angriffsvektor: Netzwerk
Angriffsomplexität: Mittel
Verfügbarkeit eines Patches: Ja (4.2.17.Final, 4.1.137.Final)

Die Schwachstelle erfordert schnelle Aufmerksamkeit aufgrund des hohen Schweregrades und der direkten Gefährdung der Verschlüsselungsintegrität.

„`