Netty netty-tcnative: Heap-Pufferüberlauf im TLS-BIO-Callback

Zusammenfassung

netty-tcnative, die Java-Anbindung für OpenSSL und BoringSSL, die Netty verwendet, enthält einen Heap-Pufferüberlauf im BIO-Schreib-Callback für TLS. Ein entfernter TLS-Partner kann ihn ohne Authentifizierung auslösen, indem er Handshake-, Renegotiation- oder Post-Handshake-Nachrichten sendet. Dadurch kommt es zu einem Out-of-Bounds-memcpy, der den JVM-Prozess zum Absturz bringt. Java-Anwendungen, die TLS über diese Bibliothek terminieren und aus dem Netzwerk erreichbar sind, sind betroffen. Die Herstellerwarnung beschreibt als Ursache einen Integer-Unterlauf, weshalb die tatsächliche Auswirkung höher sein kann als ein Absturz; dies ist noch nicht bestätigt.

Betroffen

• netty-tcnative vor 2.0.84.Final
• netty-tcnative-boringssl-static vor 2.0.84.Final
• Java-Anwendungen, die eines dieser Artefakte einbinden (eine Abhängigkeit, kein eigenständiges Produkt)

Behoben in

• netty-tcnative 2.0.84.Final (Korrektur des Herstellers)
• Distributionspakete: Korrigierte Versionen für Debian und Ubuntu unbekannt; SUSE listet netty-tcnative 2.0.84-150200.3.51.1

Umgehung

• Dem Hersteller ist kein Workaround bekannt.
• Bei eingebundenen Drittprodukten einen Build mit 2.0.84.Final beim Hersteller anfragen oder die Netty-TLS-Abhängigkeit überschreiben, sofern der Build dies zulässt.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn bekannt; nicht im CISA KEV gelistet.
• Die Herstellerwarnung beschreibt eine deterministische Reproduktion; ein öffentlicher Proof of Concept wurde nicht verifiziert.
• Aus Primärquellen unbekannt.

Unsere Empfehlung

• Java-Anwendungen auf netty-tcnative und netty-tcnative-boringssl-static in JAR-Dateien inventarisieren.
• Auf 2.0.84.Final oder den korrigierten Build des Herstellers aktualisieren, zuerst bei aus dem Internet erreichbaren Diensten.
• Die Bewertungsabweichung beachten: NVD ist noch in der Analyse, VulnCheck nennt 8.2, Debian 5.9.
• Java-Dienste auf unerwartete Abstürze überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-gf9q-9mg7-g5qh github.com
• netty-tcnative release 2.0.84.Final github.com
• Fix commit 92dd66fd github.com
• VulnCheck advisory www.vulncheck.com
• Debian OSV entry osv.dev
• Ubuntu security tracker ubuntu.com
• SUSE update SUSE-SU-2026:4391-1 osv.dev
• Maven Central netty-tcnative central.sonatype.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:54.