Vulnerabilidad en netty-incubator-codec-ohttp de netty (CVE-2026-41207)

Gravedad CVSS v4.0:

MEDIA

Tipo:

CWE-330 Uso de valores insuficientemente aleatorios

Fecha de publicación:

04/06/2026

Última modificación:

22/07/2026

Descripción

El netty incubator codec.bhttp es un analizador HTTP binario del lenguaje Java. Antes de la versión 0.0.21.Final, HKDF_expand devuelve un valor no nulo en caso de fallo. El byte[] se rellena con ceros y no tiene forma de distinguir el éxito del fallo. Dado que esta salida se utiliza como material de clave HKDF para el AEAD de respuesta, un fallo produce silenciosamente una clave de solo ceros. Cuando EVP_HPKE_CTX_export falla, también devuelve un array byte[] vacío relleno con ceros. Este byte[] se introduce directamente en OHttpCrypto.createResponseAEAD(...). Un secreto de exportación silencioso de solo ceros produciría una clave AEAD determinista y predecible por el atacante. La versión 0.0.21.Final soluciona el problema.

Impacto

Vector 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N CVSS v4.0 Severidad y Métricas:

Puntuación base: 6.90 MEDIA
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Attack Requirements (AT): Ninguno
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Confidentiality (VC): Bajo
Integrity (VI): Bajo
Availability (VA): Ninguno
Confidentiality (SC): Ninguno
Integrity (SI): Ninguno
Availability (SA): Ninguno

Puntuación base 4.0

6.90

Gravedad 4.0

MEDIA

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 5.30 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Bajo
Impacto a la disponibilidad (A): Ninguno