Netty netty-tcnative: Denial of Service durch Überzählung bei BIO-Schreibvorgängen

Zusammenfassung

netty-tcnative, die native TLS-Bibliothek für Java-Anwendungen auf Basis von Netty, meldet bei seinem BIO-Schreib-Callback zu viele verarbeitete Bytes. Ein entfernter TLS-1.3-Partner kann dies auslösen, indem er Records nach dem Handshake sendet, etwa NewSessionTicket oder KeyUpdate. Dadurch können Handshake-Flights abgeschnitten, Verbindungen abgebrochen oder der JVM-Prozess beendet werden. Eine Authentifizierung ist nicht nötig. Das GitHub-Advisory beschreibt zusätzlich eine stille Datenverfälschung bei der Übertragung, die der CVSS-4.0-Vektor nicht abbildet.

Betroffen

• io.netty:netty-tcnative vor 2.0.84.Final
• io.netty:netty-tcnative-boringssl-static vor 2.0.84.Final
• Das GitHub-Advisory nennt 2.0.81.Final als getestete betroffene Version für die Backends BoringSSL, OpenSSL, LibreSSL und AWS-LC.
• Auch Java-Anwendungen, die eine ältere netty-tcnative bündeln, sind betroffen.

Behoben in

• Auf netty-tcnative 2.0.84.Final oder neuer aktualisieren.
• Fix-Commit: e31df4a5885b35085fdfa3e2dca7c1f705d4745b
• Distributionspakete: SUSE listet netty-tcnative 2.0.84-150200.3.51.1; die CVE-Abdeckung im Advisory ist zu bestätigen.

Umgehung

Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround bekannt. Bis zur Behebung ist das Einschränken der Netzwerkexposition betroffener TLS-Endpunkte ein sinnvoller Zwischenschritt.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof-of-Concept gefunden; dies ist nicht verifiziert.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.

Unsere Empfehlung

• Maven- und Gradle-Abhängigkeiten sowie Appliances des Herstellers auf netty-tcnative vor 2.0.84.Final prüfen.
• Internetseitige Java-Dienste wie Portale, Integrationsgateways, Message Broker und Datenpipelines priorisieren.
• Auf 2.0.84.Final oder neuer aktualisieren und betroffene Anwendungen neu deployen.
• Bis zur Behebung auf JVM-Abstürze und abgebrochene TLS-Verbindungen achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA advisory GHSA-9xr3-jwv4-r489 github.com
• VulnCheck advisory www.vulncheck.com
• Ubuntu CVE tracker ubuntu.com
• Release 2.0.84.Final github.com
• Fix commit e31df4a5 github.com
• SUSE advisory SUSE-SU-2026:4391-1 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:55.