JVNDB-2026-019791

Nettyにおける有効期限後のメモリの解放の欠如に関する脆弱性

Nettyはプロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.1.135.Finalおよび4.2.15.Final以前では、RedisArrayAggregatorハンドラーがRESP配列の集約が完了する前にRedisパイプライン接続が閉じられると、プールされた直接メモリバッファを恒久的にリークさせます。このハンドラーは各ハンドラーの状態（`depths`フィールド）に子メッセージを保持しますが、パイプラインが終了するときにそれらを解放するための`channelInactive`、`handlerRemoved`、または`exceptionCaught`メソッドを定義していません。リークしたバッファは`PooledByteBufAllocator`チャンクのスライスであるため、これらのチャンクがJVM全体の直接メモリプールに返却されるのを妨げます。任意のネットワークピアによる繰り返しの接続変動はこの共有プールを単調に消耗し、最終的にプロセス内のすべてのNettyチャネルにおいて割り当てに失敗する原因となります。バージョン4.1.135.Finalおよび4.2.15.Finalでこの問題は修正されています。

Netty

• Netty 4.1.135 未満
• Netty 4.2.0 以上 4.2.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Lack of Lifecycle Cleanup Leads to Pooled ByteBuf Leak in RedisArrayAggregator  Advisory  netty/netty  GitHub

1. 有効期限後のメモリの解放の欠如(CWE-401) [その他]

1. CVE-2026-48006

1. National Vulnerability Database (NVD) : CVE-2026-48006
2. 関連文書 : Release netty-4.2.15.Final  netty/netty  GitHub
3. 関連文書 : Release netty-4.1.135.Final  netty/netty  GitHub

• [2026年06月15日]
    掲載