JVNDB-2026-019794

Nettyにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Nettyはプロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。netty-transport-sctpの4.1.135.Finalおよび4.2.15.Finalより前のバージョンでは、完全でない各SctpMessageフラグメントに対し、ハンドラーは`fragments.put(streamId, Unpooled.wrappedBuffer(frag, byteBuf))`を実行し、以前の蓄積バッファと新しいスライスを毎回新しいCompositeByteBufにラップしていました。N個のフラグメントの後、蓄積バッファはN層のコンポジットチェーンとなり、それぞれが参照とコンポーネント配列を保持します。最終バッファに対するreadableBytes()/getBytes()はNレベルまで再帰します。Nの値、合計バイト数、または攻撃者が開設可能なstreamIdentifierの数に制限はなく（それぞれがマップエントリを獲得します）、`complete`フラグを設定しないピアは小さな1バイトのDATAチャンクからこの構造を無制限に拡大可能です。バージョン4.1.135.Finalおよび4.2.15.Finalでこの問題は修正されています。

Netty

• Netty 4.1.135 未満
• Netty 4.2.0 以上 4.2.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SCTP reassembly nests buffers without bound  Advisory  netty/netty  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-46340

1. National Vulnerability Database (NVD) : CVE-2026-46340
2. 関連文書 : Release netty-4.2.15.Final  netty/netty  GitHub
3. 関連文書 : Release netty-4.1.135.Final  netty/netty  GitHub

• [2026年06月15日]
    掲載