CVE-2026-41207
MediumCVSS 5.3Summary
Kodowanie bhttp w inkubatorze netty to parser binarny HTTP w języku Java. W wersjach przed 0.0.21.Final funkcja HKDF_expand zwracała wartość różną od NULL w przypadku błędu, co skutkowało wypełnieniem tablicy bajtów zerami, uniemożliwiając odróżnienie sukcesu od porażki.
Risk Assessment
W przypadku wystąpienia błędu, generowany klucz AEAD byłby kluczem zerowym, co umożliwia atakującym przewidywanie klucza i potencjalnie kompromitację bezpieczeństwa komunikacji.
Recommendation
Zaleca się aktualizację do wersji 0.0.21.Final lub nowszej, aby usunąć tę podatność i zapewnić prawidłowe generowanie kluczy AEAD.
Original NVD description (English source)
The netty incubator codec.bhttp is a java language binary http parser. Prior to version 0.0.21.Final, HKDF_expand returns non-NULL on failure. The byte[] is filled with zeros and has no way to distinguish success from failure. Since this output is used as HKDF key material for the response AEAD, a failure silently produces an all-zero key. When EVP_HPKE_CTX_export fails it also returns an empty byte[] array filled with zeros. This byte[] feeds directly into OHttpCrypto.createResponseAEAD(...). A silent all-zero export secret would produce a deterministic, attacker-predictable AEAD key. Version 0.0.21.Final patches the issue.