JVNDB-2026-027385

NettyにおけるCRLF インジェクションの脆弱性

Nettyは非同期でイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Finalより前のバージョンでは、NettyのSTOMPエンコーダ（StompSubframeEncoder）がCONNECTおよびCONNECTEDフレーム内のヘッダー値をエスケープまたは検証しないため、ヘッダー値に含まれる生の改行文字がそのまま通信線上に書き込まれます。これにより、ヘッダー値を制御できる攻撃者が追加のSTOMPヘッダーを注入することが可能となります。この問題は、STOMP 1.2仕様に沿ってCONNECT/CONNECTEDフレームのエスケープ処理を意図的にスキップしているため発生しますが、生の改行文字を拒否しないために起こります。ブローカーは各行を別々のヘッダーとして解析するため、ユーザーが提供するログイン情報やパスコードなどの値を制御する攻撃者は接続パラメータを書き換えたり、認証や権限ヘッダーを追加して認証を回避したり権限を昇格させたりすることができます（実際の影響はブローカーによって異なります）。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。

Netty

• Netty 4.1.136 未満
• Netty 4.2.0 以上 4.2.16 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : STOMP CONNECT Frame Header Injection in Netty  Advisory  netty/netty  GitHub

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-59920

1. National Vulnerability Database (NVD) : CVE-2026-59920

• [2026年08月10日]
    掲載