Intel

CVE-2026-75596

io.netty:netty-handler: Inefficient Algorithmic Complexity (CVE-2026-75596)

highEPSS 0.4 %

Beschreibung

Netty ist ein asynchroner, ereignisgesteuerter Netzwerk-Anwendungs-Framework. Vor Versionen 4.1.137.Final und 4.2.17.Final verwenden die Standardkonstruktoren von io.netty.handler.ssl.SniHandler den vor-Handshake ClientHello-Aggregationspfad in handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java bei io.netty.handler.ssl.SslClientHelloHandler#decode, wo handshakeBuffer.clear() und writeBytes() alle zuvor empfangenen Body-Bytes für jedes zusätzliche TLS-Record erneut kopieren. Ein unauthentifizierter entfernter Peer kann einen großen ClientHello bewerben und seinen Body in Tausenden von winzigen Records liefern, was auf dem Event-Loop eine quadratische CPU-Arbeit verursacht, bevor der TLS-Handshake abgeschlossen ist und die TLS-Behandlung für andere Clients verschlechtert. Dieses Problem wird in den Versionen 4.1.137.Final und 4.2.17.Final behoben.

Quelle: CVELISTV5NVDGHSA

Metriken

Severity
high
Priority-Score
90.45
KEV-Status
—
Exploit-Reife
kein öffentlicher PoC bekannt
XIEM Effective CVSS
8.7
Quelle: cna-v4
CVSS v3
—
CVSS v4
8.7
EPSS-Perzentil
28.2 %
Erhöht — CVE ist relevanter als mindestens 10 % der heute bewerteten CVEs.
EPSS-Score
0.4 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-08-19 20:56 UTC
CWE
CWE-407

Weakness-Klassen (CWE)

  • CWE-407Class

    Inefficient Algorithmic Complexity

    An algorithm in a product has an inefficient worst-case computational complexity that may be detrimental to system performance and can be triggered by an attacker, typically using crafted manipulations that ensure that the worst case is being reached.

    cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. CVE Modified2026-08-20 20:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-75596","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technical…
  2. New CVE Received2026-08-19 21:17 UTC· security-advisories@github.com
    • Affected: netty
    • Description: Netty is an asynchronous, event-driven network application framework. Prior to 4.1.137.Final and 4.2.17.Final, the default io.netty.handler.ssl.SniHandler constructors use the pre-handshake ClientHello aggregation path in handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java at io.netty.handler.ssl.SslClientHelloHandler#decode, where handshakeBuffer.clear() and writeBytes() recopy all previously received body bytes for every additional TLS record. An unauthenticated remote peer can advertise a large ClientHello and deliver its body in thousands of tiny records, causing quadratic CPU work on the event loop before the TLS handshake completes and degrading TLS handling for other clients. This issue is fixed in versions 4.1.137.Final and 4.2.17.Final.
    • CVSS V4.0: AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
    • CWE: CWE-407

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

  • maven

    io.netty:netty-handler<= 4.1.136.Final

    gefixt in 4.1.137.Final

  • maven

    io.netty:netty-handler>= 4.2.0.Final, <= 4.2.16.Final

    gefixt in 4.2.17.Final

Quellen & Referenzen

IDCVE-2026-75596