CVE-2026-59898

highPriorität · verfolgen · 30EPSS 0.004 · 37. PerzentilDEEUUS

grimoire priorityP2 · Scheduled

Exploitable?

—

no known exploitation

Likely / severe?

0.44% (37th) EPSS

CVSS 7.5 · high

Is it mine?

20 products

Prüfe deine Angriffsfläche

Who says so?

6 sources

cnnvd · enisa_euvd · cert_bund · nvd

EPSS · bewertet 2026-10-22

Netty is an asynchronous, event-driven network application framework. Prior to versions 4.1.136.Final and 4.2.16.Final, ab attacker can force WebSocket upgrade via the lax V07 (or V08) handshaker by sending `Sec-WebSocket-Version: 7` and omitting `Connection: Upgrade` / `Upgrade: websocket` headers, completing a protocol switch that a proxy would not recognize as an Upgrade request and enabling HTTP request smuggling / protocol-confusion attacks. This issue has been fixed in versions 4.1.136.Final and 4.2.16.Final.

Behebungen

Hersteller-Fix, Mitigation oder Workaround, wie von den Quellen veröffentlicht.

Ein Hersteller-Fix ist verfügbar.

BehobenCorivaEnginesick_psirt
Users are recommended to upgrade to version 2026.1.1.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.5

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–high · 1.7–7.5

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nprimary · NVD / NIST USAusnutzbarkeit 3.9 · Auswirkung 3.6

v3.17.5highCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:Nsecondary · SICK PSIRT DE

v4.06.3mediumCVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:Nsecondary · ENISA EU

v4.06.3mediumCVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary · security-advisories@github.com

v4.01.7lowCVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:U/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:Xsecondary · CVSS-BT (t0sche)

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-444USCWE-444USCWE-444US

betroffene Produkte (20)

Betroffene Produkte und Versionsbereiche.

IBM App Connect Enterprise for Manufactoringalle Versionencert_bundDEcpe:/a:ibm:app_connect_enterprise:for_manufactoring
IBM DB2alle Versionencert_bundDEcpe:/a:ibm:db2:-
IBM SPSS Analytic Serveralle Versionencert_bundDEcpe:/a:ibm:spss:analytic_server
IBM SPSS Modeler 19.0.0.0alle Versionencert_bundDEcpe:/a:ibm:spss:modeler_19.0.0.0
Red Hat Enterprise Linuxalle Versionencert_bundDEcpe:/o:redhat:enterprise_linux:-
SUSE Linuxalle Versionencert_bundDEcpe:/o:suse:suse_linux:-
Open Source Netty< 4.1.136cert_bundDE
Open Source Netty< 4.2.16cert_bundDE
Open Source Open Source Netty <4.1.136< 4.1.136cert_bundDE
Open Source Open Source Netty <4.2.16< 4.2.16cert_bundDE
netty netty≤ < 4.1.136.Finalenisa_euvdEU
netty netty4.2.0.Final, → 4.2.16.Finalenisa_euvdEU
netty netty< 4.1.136nvdUScpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*
netty netty4.2.0 → 4.2.16nvdUScpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*
Maven io.netty:netty-codec-http< 4.1.136.FinalosvUSpkg:maven/io.netty/netty-codec-http
Maven io.netty:netty-codec-http4.2.0.Final → 4.2.16.FinalosvUSpkg:maven/io.netty/netty-codec-http
SICK AG CorivaEngine≤ 2026.1.0sick_psirtDE
SICK AG CorivaEnginealle Versionenfixedsick_psirtDE
SICK AG SICK CorivaEngine 2026.1.1alle Versionenfixedsick_psirtDE
SICK AG SICK CorivaEngine <=2026.1.0≤ 2026.1.0sick_psirtDE

Advisories (3)

Hersteller- und Ökosystem-Meldungen dazu.

WID-SEC-W-2026-2356Netty: Mehrere SchwachstellenDeutsch2026-07-14csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Netty ausnutzen, um Sicherheitsprüfungen zu umgehen, Anfragen oder Header zu manipulieren, Zertifikatsprüfungen zu unterlaufen sowie einen Denial of Service zu verursachen.
sca-2026-0013Vulnerabilities Affecting SICK CorivaEngine2026-09-11csaf · sick_psirtDE
SICK CorivaEngine includes the third-party components Netty and Spring Cloud Gateway that are affected by multiple known vulnerabilities. Under certain conditions, these vulnerabilities could allow remote attackers to perform HTTP request smuggling, cause resource exhaustion, or manipulate forwarded request headers. Successful exploitation may impact the integrity and availability of affected systems. SICK has addressed these vulnerabilities and recommends that customers apply the remediations described in this Security Advisory.
GHSA-4mp9-239f-g9hgNetty: WebSockets V07/V08 handshaker missing Connection/Upgrade validation2026-07-22ghsa · osvUS
## Summary An attacker can force WebSocket upgrade via the lax V07 (or V08) handshaker by sending `Sec-WebSocket-Version: 7` and omitting `Connection: Upgrade` / `Upgrade: websocket` headers, completing a protocol switch that a proxy would not recognize as an Upgrade request and enabling HTTP request smuggling / protocol-confusion attacks.

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd cert_bund nvd osv sick_psirt NVD CVE.org MITRE

veröffentlicht 2026-07-29geändert 2026-08-06

Referenzen (9)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan