CVE-2026-45674: Netty: envenenamento de cache DNS por falta de verificação de bailiwick em registros CNAME
O DnsResolveContext do Netty não valida a origem (bailiwick) dos registros CNAME em respostas DNS, o que, segundo o registro, permite envenenamento de cache DNS. A NVD atribui pontuação base 10 e as pontuações de origem GitHub são 8,7. Segundo o registro, as versões 4.1.135.Final e 4.2.15.Final corrigem o problema, e a CVE não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-45674 afeta o Netty, um framework de aplicações de rede usado para construir servidores e clientes de protocolos. Segundo o registro, o DnsResolveContext não valida o bailiwick dos registros CNAME em respostas DNS. O registro classifica a fraqueza como CWE-345, Verificação Insuficiente de Autenticidade dos Dados.
Impacto
- O registro descreve um cenário de envenenamento de cache DNS causado pela aceitação de dados CNAME fora do escopo esperado.
- A NVD atribui pontuação base 10, com vetor que indica vetor de ataque de rede, baixa complexidade, ausência de privilégios, ausência de interação do usuário, mudança de escopo e alto impacto em confidencialidade e integridade.
- As pontuações de origem GitHub no registro são 8,7.
- Os campos SSVC do registro indicam exploração como none, automatizável como no e impacto técnico como total.
Produtos e versões afetadas
- Produto no registro: Netty (Netty Netty).
- Faixas afetadas no registro: versões anteriores a 4.1.135.Final e versões a partir de 4.2.0.Final até antes de 4.2.15.Final.
- Versões corrigidas indicadas na descrição e nas notas de lançamento: 4.1.135.Final e 4.2.15.Final.
- O campo estruturado de correções do registro está vazio, por isso as versões corrigidas acima vêm da descrição e das notas de lançamento vinculadas.
Status de exploração
- O catálogo KEV da CISA não lista esta CVE no registro.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS é 0,00292, com percentil de 0,20649.
Remediação e mitigação
- Atualize o Netty para 4.1.135.Final ou 4.2.15.Final, conforme a linha de versão usada pela sua aplicação.
- Revise o aviso do GitHub e os errata do fornecedor vinculados nas referências para confirmar a build corrigida exata no seu ambiente.
- Quando a aplicação precisar de adiamento do patch, reduza a exposição limitando quais caminhos de resolução DNS e resolvedores upstream ela utiliza e revisando as aplicações que dependem do resolvedor DNS do Netty.
Orientações de detecção
- Inventarie aplicações e dependências que incluem o Netty, incluindo dependências transitivas, e registre suas versões.
- Monitore anomalias de resolução DNS em nível geral, como cadeias CNAME inesperadas apontando para domínios não relacionados.
Limitações das informações disponíveis
- O registro não descreve prova de conceito, condições específicas de ataque nem configurações padrão das implantações afetadas.
- O registro não informa se uma aplicação específica usa o caminho de código afetado do resolvedor DNS.
- O registro não explica a diferença entre a pontuação 10 da NVD e a pontuação 8,7 de origem GitHub.
Perguntas frequentes
Qual é a fraqueza da CVE-2026-45674?
Segundo o registro, o DnsResolveContext do Netty não valida o bailiwick dos registros CNAME em respostas DNS, classificado como CWE-345.
Quais versões corrigem o problema?
O registro informa que as versões 4.1.135.Final e 4.2.15.Final corrigem o problema. As faixas afetadas são versões anteriores a 4.1.135.Final e versões a partir de 4.2.0.Final até antes de 4.2.15.Final.
Esta CVE é explorada em ataques reais?
O registro mostra que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.