JVNDB-2026-027668

NettyにおけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

Nettyは非同期でイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Finalより前のバージョンでは、OcspServerCertificateValidatorが非同期OCSP検証完了前にSslHandshakeCompletionEventを転送していました。これにより、クライアントの下流ハンドラはチャネルがOCSPチェックによって閉じられる前に取り消されたサーバーに対して機密のアプリケーションデータ（例：HTTPリクエスト）を送信できてしまう恐れがありました。io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggeredにおいて、SslHandshakeCompletionEventを受信すると、バリデータは即座にctx.fireUserEventTriggered(evt)を呼び出します。続いてOcspClient.queryを使用して非同期OCSPクエリを開始します。ハンドシェイク完了イベントが即座に転送されるため、クライアントのパイプライン内の下流ハンドラはTLSハンドシェイクが成功したと認識します。そのため、受信したアプリケーションデータの読み取りや処理、または送信を開始する可能性があります。後にOCSPレスポンスでサーバー証明書が取り消された（REVOKED）ことが示された場合、バリデータはチャネルを閉じますが、この時点までにクライアントは既に取り消されたサーバーに対して機密データを漏洩させたり、悪意のあるレスポンスを処理している可能性がありました。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。

Netty

• Netty 4.1.136 未満
• Netty 4.2.0 以上 4.2.16 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : TOCTOU in OcspServerCertificateValidator  Advisory  netty/netty  GitHub

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]

1. CVE-2026-56822

1. National Vulnerability Database (NVD) : CVE-2026-56822

• [2026年08月10日]
    掲載