CVE-2026-56817
io.netty/netty-codec-xml: Netty: Information disclosure via XML External Entity (XXE) vulnerability
Sévérité par source
Le label propre à Trivy est CRITICAL. Critique selon NVD. Plus basse selon GHSA (élevée), Red Hat (élevée), Ubuntu (moyenne).
Description
Netty is a network application framework for development of protocol servers and clients. In versions 4.2.0.Final through 4.2.15.Final and 4.1.0.Final through 4.1.135.Final, any caller that can deliver bytes to a Netty channel pipeline containing `XmlDecoder` can send XML with a `DOCTYPE` declaration to an `AsyncXMLInputFactory` instantiated with no security configuration, leaving DTD and entity handling active depending on Aalto XML async parser behavior and creating conditional XML external entity risk. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.
Paquets affectés et versions corrigées
| Source | Paquet | Corrigé en |
|---|---|---|
| chainguard | apache-hop, apache-hop-fips, celeborn-0.5 et 9 autres | 2.18.1-r8 et 10 autres |
| debian 11 | netty | pas de correctif indiqué |
| debian 12 | netty | pas de correctif indiqué |
| debian 13 | netty | pas de correctif indiqué |
| debian 14 | netty | pas de correctif indiqué |
| echo | netty | pas de correctif indiqué |
| maven::GitHub Security Advisory Maven | io.netty:netty-codec-xml | 4.2.16.Final, 4.1.136.Final |
| minimos | apache-hop, apache-hop-fips, datahub-frontend-react et 7 autres | 2.19.0-r0 et 4 autres |
| rapidfort debian 12 | netty | pas de correctif indiqué |
| rapidfort debian 13 | netty | pas de correctif indiqué |
| Red Hat | netty-codec-xml | pas de correctif indiqué |
| ubuntu 20.04-ESM | netty | pas de correctif indiqué |
Afficher les 38 entrées de 15 sources
| Source | Paquet | Corrigé en |
|---|---|---|
| chainguard | apache-hop | 2.18.1-r8 |
| chainguard | apache-hop-fips | 2.18.1-r6 |
| chainguard | celeborn-0.5 | 0.5.4-r30 |
| chainguard | celeborn-0.6 | 0.6.3-r11 |
| chainguard | hadoop-fips-3.5 | 3.5.0-r3 |
| chainguard | management-api-for-apache-cassandra-5.0 | 0.1.122-r2 |
| chainguard | pinot | 1.5.1-r4 |
| chainguard | pinot-fips | 1.5.1-r4 |
| chainguard | seata | 2.6.0-r21 |
| chainguard | tez | 0.10.5-r23 |
| chainguard | thingsboard | 4.3.1.3-r7 |
| chainguard | tinkerpop | 3.8.1-r2 |
| debian 11 | netty | pas de correctif indiqué |
| debian 12 | netty | pas de correctif indiqué |
| debian 13 | netty | pas de correctif indiqué |
| debian 14 | netty | pas de correctif indiqué |
| echo | netty | pas de correctif indiqué |
| maven::GitHub Security Advisory Maven | io.netty:netty-codec-xml | 4.2.16.Final, 4.1.136.Final |
| minimos | apache-hop | 2.19.0-r0 |
| minimos | apache-hop-fips | 2.19.0-r0 |
| minimos | datahub-frontend-react | 1.7.0-r0 |
| minimos | datahub-frontend-react-fips | 1.7.0-r0 |
| minimos | datahub-upgrade | 1.7.0-r0 |
| minimos | datahub-upgrade-fips | 1.7.0-r0 |
| minimos | management-api-5.0 | 0.1.124-r0 |
| minimos | management-api-fips-5.0 | 0.1.124-r0 |
| minimos | trino | 483-r0 |
| minimos | trino-fips | 483-r2 |
| rapidfort debian 12 | netty | pas de correctif indiqué |
| rapidfort debian 13 | netty | pas de correctif indiqué |
| Red Hat | netty-codec-xml | pas de correctif indiqué |
| ubuntu 20.04-ESM | netty | pas de correctif indiqué |
| ubuntu 22.04 | netty | pas de correctif indiqué |
| ubuntu 24.04 | netty | pas de correctif indiqué |
| wolfi | celeborn-0.6 | 0.6.3-r11 |
| wolfi | management-api-for-apache-cassandra-5.0 | 0.1.122-r2 |
| wolfi | tez | 0.10.5-r23 |
| wolfi | thingsboard | 4.3.1.3-r7 |
Références
- https://access.redhat.com/security/cve/CVE-2026-56817
- https://github.com/netty/netty
- https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b
- https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6
- https://github.com/netty/netty/releases/tag/netty-4.1.136.Final
- https://github.com/netty/netty/releases/tag/netty-4.2.16.Final
- https://github.com/netty/netty/security/advisories/GHSA-4qhr-g3c6-fcfx
- https://nvd.nist.gov/vuln/detail/CVE-2026-56817