JVNDB-2026-019786

Nettyにおけるデジタル署名の検証に関する脆弱性

Nettyはプロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.1.135.Finalおよび4.2.15.Final以前では、SimpleTrustManagerFactory.engineGetTrustManagers()および関連の経路で、ユーザー提供の単純なX509TrustManagerをX509ExtendedTrustManagerを継承するX509TrustManagerWrapperでラップしますが、このラッパーは3引数のcheckServerTrusted(chain, authType, SSLEngine)をSSLEngineを破棄して2引数のデリゲートを呼び出す形で実装しています。このオブジェクトがX509ExtendedTrustManagerであるため、SunJSSEの内部AbstractTrustManagerWrapperもNetty自身のOpenSslX509TrustManagerWrapperも再度ラップしてエンドポイント識別を追加しません。その結果、Netty 4.2ではデフォルトでendpointIdentificationAlgorithm="HTTPS"が設定されているにもかかわらず、`SslContextBuilder.forClient().trustManager(somePlainX509TrustManager)`で構築されたクライアントはホスト名検証を全く行いません。この問題はバージョン4.1.135.Finalおよび4.2.15.Finalで修正されました。

Netty

• Netty 4.1.135 未満
• Netty 4.2.0 以上 4.2.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Wrapping plain trust manager silently disables hostname verification  Advisory  netty/netty  GitHub

1. デジタル署名の不適切な検証(CWE-347) [その他]

1. CVE-2026-50010

1. National Vulnerability Database (NVD) : CVE-2026-50010
2. 関連文書 : Release netty-4.2.15.Final  netty/netty  GitHub
3. 関連文書 : Release netty-4.1.135.Final  netty/netty  GitHub

• [2026年06月15日]
    掲載