CVE-2026-59903
Netty: Cache Poisoning and Information Disclosure via CORS Vary Header Overwrite
CVSS 3.1Medium
6.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 4.1.137.Final, 4.2.17.Final
Обновите зависимость Netty до версий 4.1.137.Final или 4.2.17.Final.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Метод setVaryHeader в Netty перезаписывает существующие заголовки ответа вместо их объединения. Это приводит к отравлению кэша промежуточных прокси-серверов и раскрытию конфиденциальных данных.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
В классе io.netty.handler.codec.http.cors.CorsHandler метод setVaryHeader заменяет сформированные приложением значения заголовка Vary (например, Cookie или Authorization) на Origin.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Кэширующие прокси-серверы и CDN сохраняют приватные ответы одного пользователя и отдают их другим клиентам, что влечет утечку сессионных данных.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
nettynetty
все ранние➔Fix: 4.1.137.Final
nettynetty
>= 4.2.0.Final➔Fix: 4.2.17.Final
——
>= 4.2.0.Final➔Fix: 4.2.17.Final
——
>= 0➔Fix: 4.1.137.Final
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/netty/netty/security/advisories/GHSA-8c42-7qj2-3j46
- github.comhttps://github.com/netty/netty/pull/17213
- github.comhttps://github.com/netty/netty/pull/17217
- github.comhttps://github.com/netty/netty/releases/tag/netty-4.1.137.Final
- github.comhttps://github.com/netty/netty/releases/tag/netty-4.2.17.Final
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-59903: Netty: Cache Poisoning and Information Disclosure via CORS Vary Header Overwrite. URL: https://cve.futuretools.ru/cve/CVE-2026-59903
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_59903,
title = {{CVE-2026-59903: Netty: Cache Poisoning and Information Disclosure via CORS Vary Header Overwrite}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-59903}},
note = {Оперативный инженерный анализ киберугроз}
}