JVNDB-2026-027669

Nettyにおける証明書失効のチェックに関する脆弱性

Nettyは非同期でイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Final以前では、OcspServerCertificateValidatorが期限切れのOCSPレスポンスを検出しても処理を停止せず、有効期限切れのGOODレスポンスを依然として有効と判断して報告します。これにより、経路上の攻撃者が古いGOODレスポンスをリプレイし、一度失効した証明書の失効を回避できる可能性があります。悪用されると、期限切れのOCSPレスポンスのリプレイによって証明書の失効が回避される恐れがあります。OcspServerCertificateValidatorを使用するすべてのアプリケーションが影響を受け、失効済みの証明書を受け入れてしまう可能性があります。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。

Netty

• Netty 4.1.136 未満
• Netty 4.2.0 以上 4.2.16 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Out-of-date OCSP Responses Accepted by OcspServerCertificateValidator  Advisory  netty/netty  GitHub

1. 証明書失効の不適切なチェック(CWE-299) [その他]

1. CVE-2026-56821

1. National Vulnerability Database (NVD) : CVE-2026-56821

• [2026年08月10日]
    掲載