CVE-2026-50009
Publiée le 2026-06-12 · Dernière modification le 2026-06-17
Les applications utilisant le framework réseau Netty (plus précisément les versions antérieures à 4.2.15.Final) sont concernées lors de l'utilisation de QUIC. Un attaquant positionné sur le chemin réseau peut observer les identifiants de connexion pour en déduire un jeton de réinitialisation, lui permettant ainsi d'usurper un paquet qui interrompt brutalement la connexion. Cela nécessite que l'attaquant occupe une position d'« homme du milieu » sur le réseau, mais aucune authentification ni interaction de l'utilisateur n'est requise pour déclencher la déconnexion.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Netty is a network application framework for development of protocol servers and clients. Prior to version 4.2.15.Final, Netty QUIC exposes the stateless reset token on the network path when using the default HMAC-based connection-ID and stateless-reset-token generators. The reset token for the server's current source connection ID can be derived from bytes that appear as the connection ID in QUIC headers after a source-CID rotation. An on-path attacker observing the headers can use the token to perform a Denial of Service by sending a spoofed Stateless Reset packet. Version 4.2.15.Final patches the issue.