JVNDB-2026-019799

Nettyにおける通信チャネルの送信元の不適切な検証に関する脆弱性

Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。NoQuicTokenHandlerは、アプリケーションがトークンハンドラーを設定しない場合に使用されるtokenHandlerです。バージョン4.2.15.Final以前では、そのwriteToken()はfalseを返し（サーバーはRetryを送信しない―許容される）、validateToken()は無条件に`return 0`を返していました。QuicheQuicServerCodec.handlePacket()では、validateToken()からの0以上の返り値が「トークンは有効で、ODCIDがオフセット0から始まる」と解釈され、サーバーはクライアントのアドレスがRetryラウンドトリップによって検証されたかのようにquiche_acceptを呼び出します。RFC 9000 §8.1によると、検証されたアドレスは3倍のアンチアンプリフィケーション送信制限を解除します。したがって、攻撃者が初期パケットに任意の非空トークンバイトを含めて被害者の送信元IPを偽装し送信すると、Nettyサーバーは被害者を検証済みとみなして3倍の制限なしにフルサイズのハンドシェイクフライト（証明書など）を反射します。正しい「トークンなしハンドラー」の意味は、-1（無効）を返して通常の未検証パスとアンプリフィケーション制限を適用することです。この問題はバージョン4.2.15.Finalで修正されました。

Netty

• Netty 4.2.0 以上 4.2.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Default QUIC token handler accepts any client-supplied token  Advisory  netty/netty  GitHub

1. 通信チャネルの送信元の不適切な検証(CWE-940) [その他]

1. CVE-2026-44894

1. National Vulnerability Database (NVD) : CVE-2026-44894
2. 関連文書 : Release netty-4.2.15.Final  netty/netty  GitHub

• [2026年06月15日]
    掲載