JVNDB-2026-019798

Nettyにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Nettyはプロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.1.135.Finalおよび4.2.15.Final以前では、SslClientHelloHandler.decode()が24ビットのTLSハンドシェイク長を読み取り、ClientHelloが最初のレコードに収まらない場合に、進んで`ctx.alloc().buffer(handshakeLength)`を割り当てます（161行目）。140行目のガードは`handshakeLength maxClientHelloLength && maxClientHelloLength != 0`であり、一般的に使用されるSniHandler/AbstractSniHandlerのコンストラクタ（SniHandler(Mapping)、SniHandler(AsyncMapping)、AbstractSniHandler()）はmaxClientHelloLength=0およびhandshakeTimeoutMillis=0を渡すため、長さのガードが無効化され、タイムアウトもスケジュールされません。16MiBのリクエストはデフォルトのプールチャンクサイズを超え、直ちに巨大かつ非プール割り当てになります。このバッファはチャネルが閉じるまでハンドラー内に保持され続けます。バージョン4.1.135.Finalおよび4.2.15.Finalでこの問題は修正されています。

Netty

• Netty 4.1.135 未満
• Netty 4.2.0 以上 4.2.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SNI handler pre-allocates up to 16 MiB from nine attacker bytes  Advisory  netty/netty  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-45416

1. National Vulnerability Database (NVD) : CVE-2026-45416
2. 関連文書 : Release netty-4.2.15.Final  netty/netty  GitHub
3. 関連文書 : Release netty-4.1.135.Final  netty/netty  GitHub

• [2026年06月15日]
    掲載