JVNDB-2026-027389

Nettyにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性

Netty は非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン 4.1.136.Final および 4.2.16.Final より前のバージョンでは、`HttpContentEncoder`（実際のハンドラである `HttpContentCompressor` のスーパークラス）が、チャネルごとに `acceptEncodingQueue` という名前の `ArrayDeque＜CharSequence＞` を保持していました。このキューはサイズ制限がなく、攻撃者が操作可能なデータを蓄積します。このキューは、受信するすべての HTTP リクエストに対して I/O スレッド上で満たされており、アプリケーションが後で 1xx 以外の応答を書き込む時にのみ消費されます。このため、攻撃者が HTTP/1.1 のパイプライン機構を悪用し、アプリケーションが応答を生成する速度よりも速くリクエストを接続に送り込むと、リソースが枯渇する脆弱性が生じます。この問題はバージョン 4.1.136.Final および 4.2.16.Final で修正されています。

Netty

• Netty 4.1.136 未満
• Netty 4.2.0 以上 4.2.16 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : [HttpContentEncoder] Unbounded Per-Connection Queue Growth via HTTP/1.1 Pipelining Leads to Denial of Service  Advisory  netty/netty  GitHub

1. 制限またはスロットリング無しのリソースの割り当て(CWE-770) [その他]

1. CVE-2026-59899

1. National Vulnerability Database (NVD) : CVE-2026-59899
2. 関連文書 : Release netty-4.2.16.Final  netty/netty  GitHub
3. 関連文書 : Release netty-4.1.136.Final  netty/netty  GitHub

• [2026年08月10日]
    掲載