CVE-2026-41207
Publiée le 2026-06-04 · Dernière modification le 2026-07-22
Les applications Java utilisant la bibliothèque netty incubator codec.bhttp avant la version 0.0.21.Final sont concernées. Un attaquant peut exploiter une défaillance dans la génération de clés pour forcer le système à utiliser une clé de chiffrement prévisible, composée uniquement de zéros, lui permettant ainsi de déchiffrer des données de réponse sensibles. Cette opération peut être effectuée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
The netty incubator codec.bhttp is a java language binary http parser. Prior to version 0.0.21.Final, HKDF_expand returns non-NULL on failure. The byte[] is filled with zeros and has no way to distinguish success from failure. Since this output is used as HKDF key material for the response AEAD, a failure silently produces an all-zero key. When EVP_HPKE_CTX_export fails it also returns an empty byte[] array filled with zeros. This byte[] feeds directly into OHttpCrypto.createResponseAEAD(...). A silent all-zero export secret would produce a deterministic, attacker-predictable AEAD key. Version 0.0.21.Final patches the issue.