Netty netty-tcnative: Use-after-free im Callback für Session-Ticket-Schlüssel
Zusammenfassung
netty-tcnative, eine native TLS-Bibliothek für Java-Anwendungen, die gegen OpenSSL 3.x gebaut wurde, enthält einen Use-after-free im Callback für Session-Ticket-Schlüssel. Ein entfernter Client, der einen TLS-Handshake durchführt, während Session-Ticket-Schlüssel rotiert werden, kann bewirken, dass OpenSSL freigegebene HMAC-Schlüssel liest. Ein Angreifer kann die Anwendung zum Absturz bringen oder die Verarbeitung von Session-Tickets stören; eine Beeinträchtigung der Vertraulichkeit oder Integrität wird nicht angegeben.
Betroffen
- netty-tcnative 2.0.66.Final bis vor 2.0.84.Final, gegen OpenSSL 3.x gebaut (gemäss CVE-Eintrag)
- Der Beginn des betroffenen Bereichs ist zwischen den Quellen umstritten (2.0.66.Final, 2.0.81.Final oder bis 2.0.83.Final). Alle Versionen unter 2.0.84.Final sind als betroffen zu behandeln.
Behoben in
- Auf netty-tcnative 2.0.84.Final oder neuer aktualisieren.
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Workaround-Massnahme. Änderungen an den Session-Ticket-Einstellungen sind nicht getestet und können die Session-Wiederaufnahme unterbrechen; vorgängig mit dem Hersteller der Anwendung abklären.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- Kein öffentlicher Exploit gefunden.
Unsere Empfehlung
- Java-Dienste, Fat JARs und Container-Images auf netty-tcnative prüfen, einschliesslich transitiver Abhängigkeiten.
- Internetexponierte Dienste priorisieren und in das nächste Wartungsfenster auf 2.0.84.Final oder neuer aktualisieren.
- Hersteller von eingesetzten Produkten nach dem Patch-Stand fragen.
- Betroffene Dienste nach dem Update auf Abstürze oder TLS-Fehler überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-mmc8-vg2v-fvvw github.com
- netty-tcnative release 2.0.84.Final github.com
- Ubuntu security notice CVE-2026-116540 ubuntu.com
- VulDB CVE-2026-116540 vuldb.com
- VulnCheck advisory netty-tcnative www.vulncheck.com
- netty-tcnative project repository github.com
- OffSeq Radar CVE-2026-116540 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:55.
Referenzen der NVD (6)
- https://github.com/netty/netty-tcnative
- https://github.com/netty/netty-tcnative/blob/netty-tcnative-parent-2.0.83.Final/openssl-dynamic/src/main/c/ss…
- https://github.com/netty/netty-tcnative/commit/59662a8b07a9a7623ae1bc472f5751f31c81a118
- https://github.com/netty/netty-tcnative/releases/tag/netty-tcnative-parent-2.0.84.Final
- https://github.com/netty/netty-tcnative/security/advisories/GHSA-mmc8-vg2v-fvvw
- https://www.vulncheck.com/advisories/netty-tcnative-2.0.66-final-before-2.0.84-final-use-after-free-in-sessio…
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.