CVE-2026-89044

Data: 2026-09-17

Severity: Medium

CVSS Score:

  • CVSS v3.1: 6.5 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N)

  • CVSS v4.0: 6.9 (CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N)

Nota

La severity e i CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché risiede nel modulo netty-codec-http non distribuito da GovWay.

Riferimenti:

Libreria: io.netty:netty-codec-http (versioni affette: 4.1.133.Final - 4.1.137.Final, 4.2.13.Final - 4.2.17.Final)

Descrizione

CWE-444: Inconsistent Interpretation of HTTP Requests (“HTTP Request/Response Smuggling”)

Netty versions 4.1.133.Final through 4.1.137.Final and 4.2.13.Final through 4.2.17.Final fail to properly validate the final transfer coding in the Transfer-Encoding header, allowing attackers to smuggle requests by using malformed encoding declarations. Attackers can split Transfer-Encoding headers across multiple lines or use values like “chunked, xchunked” to bypass validation and decode messages as chunked when the final coding is not chunked, enabling request smuggling attacks.

GovWay

La vulnerabilità risiede nel modulo netty-codec-http di Netty, nello specifico nella validazione dell’header Transfer-Encoding effettuata dal decoder dei messaggi HTTP (HttpObjectDecoder).

Tale modulo non fa parte della distribuzione di GovWay: il prodotto include Netty unicamente come dipendenza del client Redis (Redisson) impiegato dalle funzionalità distribuite basate su Redis (contatori distribuiti del controllo del traffico, cache distribuita, protezione anti-replay), limitatamente ai moduli richiesti da tale client:

  • linea 3.3.x (lib/redis, Netty 4.1.137.Final): netty-buffer, netty-codec, netty-codec-dns, netty-common, netty-handler, netty-resolver, netty-resolver-dns, netty-transport, netty-transport-native-unix-common;

  • linea 3.4.x (lib/redis, Netty 4.2.17.Final): i medesimi moduli, con l’aggiunta di netty-codec-base.

Fra questi non figura netty-codec-http, ottenuto escludendo nel POM tutte le dipendenze transitive di Redisson (exclusion *:*) e dichiarando esplicitamente i soli moduli necessari.

Netty opera inoltre nel prodotto unicamente come client verso il server Redis: GovWay non espone alcun servizio HTTP basato su Netty, essendo il gateway erogato come applicazione web sull’application server, e non utilizza Netty per le connessioni verso i servizi esterni, realizzate dai connettori HTTP/HTTPS del gateway. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Netty vengono comunque aggiornate alla prima versione in rilascio.

Nota

La vulnerabilità è segnalata dai tool di analisi delle dipendenze (es. OWASP dependency-check) a carico dell’artefatto netty-transport, in quanto l’NVD associa le vulnerabilità di Netty alla CPE di prodotto cpe:2.3:a:netty:netty senza distinguere il singolo modulo Maven. Il codice vulnerabile risiede tuttavia nel modulo netty-codec-http, non distribuito da GovWay.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: 3.3.21

  • 3.4.x: 3.4.4