Índice
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-75595 |
| Fabricante | Microsoft |
| Producto | .NET |
| Fecha de publicación | 2026-08-19 |
| Severidad | CRITICAL |
| CVSS | 9.1 (CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X) |
| Puntuación de prioridad | 215 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-75595 es una vulnerabilidad de tipo comprobación incorrecta de condiciones inusuales o excepcionales (CWE-754) en el componente Netty de .NET. Netty es un framework de aplicaciones de red asíncrono y basado en eventos. La vulnerabilidad reside en el método io.netty.handler.ssl.SslClientHelloHandler#decode, que verifica un desplazamiento incorrecto antes de leer el encabezado de cuatro bytes del handshake TLS. Esto provoca que un ClientHello cuyo encabezado abarque varios registros pueda generar una excepción IndexOutOfBoundsException y llamar a select(ctx, null), seleccionando el contexto SSL predeterminado en lugar del contexto específico SNI.
En despliegues donde la autenticación mutua TLS por SNI (clientAuth=REQUIRE) es la única barrera, el contexto predeterminado utiliza clientAuth=NONE u OPTIONAL, y si no existe verificación de certificados a nivel de aplicación, un atacante remoto no autenticado puede eludir el requisito de TLS mutuo en la ruta protegida.
Productos y versiones vulnerables
Según las fuentes consultadas, las versiones afectadas son:
- Netty (componente de .NET) versiones anteriores a 4.1.137.Final
- Netty versiones desde 4.2.0.Final hasta anteriores a 4.2.17.Final
No se han publicado otras versiones afectadas en las fuentes oficiales.
Impacto y riesgo
La vulnerabilidad tiene un impacto alto en la confidencialidad e integridad (CVSS: VC:H/VI:H). Un atacante remoto no autenticado podría acceder a rutas protegidas por TLS mutuo sin presentar un certificado válido, comprometiendo la seguridad de las comunicaciones. No se requiere interacción del usuario y el ataque tiene baja complejidad, aunque requiere que el handshake TLS abarque múltiples registros (AT:P).
Estado de explotación conocida
No se ha publicado información sobre explotación activa en las fuentes consultadas. La selección de esta CVE por RyzerBot se basa en su reciente publicación y su puntuación CVSS superior a 9.0, no en evidencia de explotación.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación está afectada, verifica la versión de Netty utilizada en tu entorno .NET. Si la versión es anterior a 4.1.137.Final o se encuentra en el rango 4.2.0.Final a 4.2.16.Final, estás en riesgo. Consulta la documentación oficial de Microsoft para obtener instrucciones específicas sobre cómo identificar la versión.
Mitigación y actualización
La vulnerabilidad se corrige en las versiones 4.1.137.Final y 4.2.17.Final de Netty. Se recomienda actualizar a estas versiones o posteriores. Microsoft ha publicado un aviso en su portal de actualizaciones (MSRC). No se han publicado mitigaciones alternativas en las fuentes consultadas.
Checklist para administradores
- ☐ Identificar la versión de Netty en los sistemas .NET.
- ☐ Comparar con las versiones vulnerables listadas.
- ☐ Programar la actualización a 4.1.137.Final o 4.2.17.Final.
- ☐ Verificar que no existan configuraciones que dependan exclusivamente de SNI para TLS mutuo.
- ☐ Revisar los registros de acceso en busca de intentos de handshake anómalos.
- ☐ Confirmar la aplicación del parche tras la actualización.
Preguntas frecuentes
¿Qué es CVE-2026-75595?
Es una vulnerabilidad crítica en el componente Netty de .NET que permite eludir la autenticación mutua TLS.
¿Qué versiones están afectadas?
Netty anteriores a 4.1.137.Final y entre 4.2.0.Final y 4.2.16.Final.
¿Hay explotación activa?
No se ha reportado explotación activa en las fuentes oficiales.
¿Cómo se mitiga?
Actualizando a Netty 4.1.137.Final o 4.2.17.Final.
¿Afecta a todas las aplicaciones .NET?
Solo aquellas que utilicen Netty y tengan configuraciones de TLS mutuo basadas en SNI.
¿Dónde puedo encontrar más información?
En las fuentes oficiales listadas a continuación.