„`html
Zusammenfassung
Eine kritische Schwachstelle in der Netty-Bibliothek (CVE-2026-45674) ermöglicht DNS-Cache-Poisoning-Attacken durch unzureichende Validierung von CNAME-Records. Die Komponente DnsResolveContext führt keine Origin-Validierung (Bailiwick-Check) durch, was Angreifern die Einschleusung manipulierter DNS-Antworten ermöglicht. Der CVSS-Score von 8.7 klassifiziert diese Lücke als hochkritisch.
Betroffene Systeme
Vulnerable Versionen:
- Netty vor Version 4.1.135.Final
- Netty vor Version 4.2.15.Final
Betroffen sind alle Anwendungen und Services, die Netty für DNS-Auflösung einsetzen, einschließlich Microservices, Cloud-Plattformen und Enterprise-Anwendungen mit hohen Netzwerkanforderungen.
Technische Details
Die Schwachstelle liegt in der fehlerhaften Implementierung der DNS-Response-Validierung. Bei der Verarbeitung von CNAME-Records überprüft DnsResolveContext nicht, ob der angeforderte und der zurückgegebene Domain-Name derselben Zone (Bailiwick) angehören. Dies verstößt gegen RFC 1034 und ermöglicht DNS-Rebinding-Angriffe sowie Cache-Poisoning.
Ein Angreifer kann während eines Man-in-the-Middle-Angriffs (MITM) oder durch BGP-Hijacking böswillige CNAME-Records einspeisen. Die fehlende Validierung ermöglicht die Auflösung zu beliebigen IP-Adressen, was zur Kompromittierung interner Systeme führt.
Angriffsvektor: Network (keine Authentifizierung erforderlich)
Empfohlene Massnahmen
- Sofortige Aktualisierung: Upgrade auf Netty 4.1.135.Final oder 4.2.15.Final durchführen
- Dependency-Scanning: Alle Projekte auf betroffene Netty-Versionen prüfen (Maven, Gradle, npm)
- Netzwerk-Segmentierung: DNS-Traffic mit DNSSEC validieren und schützen
- Monitoring: Ungewöhnliche DNS-Abfragen und CNAME-Responses überwachen
- Patch-Management: Automatisierte Update-Prozesse implementieren
Bewertung
Risiko: Hochkritisch (CVSS 8.7) | Verfügbarkeit: Patch vorhanden | Handlungsdringlichkeit: Sehr hoch
Unternehmen sollten Patches innerhalb von 7 Tagen einspielen. Die Lücke ermöglicht Angreifern, kritische Infrastruktur zu kompromittieren.
„`