CVE-2026-62380

Data: 2026-09-03

Severity: High

CVSS Score:

  • CVSS v3.1: 7.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N)

  • CVSS v4.0: 6.3 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:N/SI:L/SA:N)

Nota

La severity e i CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché risiede nel modulo netty-codec-socks non distribuito da GovWay.

Riferimenti:

Libreria: io.netty:netty-codec-socks (versioni affette: <= 4.1.136.Final, 4.2.0.Final - 4.2.16.Final)

Descrizione

CWE-626: Null Byte Interaction Error (Poison Null Byte)

Netty (io.netty:netty-codec-socks) versions 4.2.0.Final through 4.2.16.Final and 4.1.x through 4.1.136.Final contain null byte, CRLF, and credential injection vulnerabilities in the SOCKS4 (Socks4ClientEncoder) and SOCKS5 (Socks5ClientEncoder) client encoders, which fail to validate domain address and authentication (username/password) fields. An attacker able to control these fields can inject null bytes or CRLF characters to truncate or alter values, potentially enabling domain spoofing, SOCKS4 userid truncation, authentication data injection, and protocol confusion. Fixed in 4.2.17.Final and 4.1.137.Final.

GovWay

La vulnerabilità risiede nel modulo netty-codec-socks di Netty, nello specifico negli encoder client dei protocolli SOCKS4 e SOCKS5 (Socks4ClientEncoder e Socks5ClientEncoder) utilizzati per instradare le connessioni attraverso un proxy SOCKS.

Tale modulo non fa parte della distribuzione di GovWay: il prodotto include Netty unicamente come dipendenza del client Redis (Redisson) impiegato dalla gestione distribuita delle policy di controllo del traffico, limitatamente ai moduli richiesti da tale client (netty-common, netty-buffer, netty-transport, netty-handler, netty-codec, netty-resolver e i relativi moduli per la risoluzione DNS e per il trasporto nativo), fra i quali non figura netty-codec-socks. GovWay non utilizza proxy SOCKS e non istanzia alcun encoder SOCKS: le connessioni verso i servizi esterni sono realizzate dai connettori HTTP/HTTPS del gateway, indipendenti da Netty. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Netty vengono comunque aggiornate alla prima versione in rilascio.

Nota

La vulnerabilità è segnalata dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico dell’artefatto netty-transport, in quanto l’NVD associa le vulnerabilità di Netty alla CPE di prodotto cpe:2.3:a:netty:netty senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nel modulo netty-codec-socks, non distribuito da GovWay.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: 3.3.21

  • 3.4.x: 3.4.4