JVNDB-2026-028978

jlineにおけるリソースの枯渇に関する脆弱性

JLineはコンソール入力を処理するためのJavaライブラリです。バージョン3.30.14、4.0.16、および4.2.1より前のJLine3 Telnetサーバのremote-telnetモジュールは、Telnet NAWSオプション経由で受け取った端末のサイズに上限を適用しておらず、TelnetIO.javaのTelnetIO.handleNAWS()メソッド（856〜879行目）ではクライアントから提供された幅と高さを16ビット符号なし整数として読み取り、65535×65535などの値をsetTerminalGeometry()に渡します。これにより、認証されていないリモート攻撃者が値を繰り返し切り替えて連続的に高負荷なレンダリング処理を誘発し、CPU枯渇とサービス拒否（DoS）を引き起こす可能性があります。この問題はバージョン3.30.14、4.0.16、および4.2.1で修正されています。

jline

• jline 3.30.14 未満
• jline 4.0.0 以上 4.0.16 未満
• jline 4.1.0 以上 4.2.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated Remote DoS via Unbounded Telnet NAWS Terminal Geometry  Advisory  jline/jline3  GitHub

1. リソースの枯渇(CWE-400) [その他]

1. CVE-2026-56741

1. National Vulnerability Database (NVD) : CVE-2026-56741
2. 関連文書 : Merge commit from fork  jline/jline3@733eb35  GitHub
3. 関連文書 : Release JLine 4.0.16  jline/jline3  GitHub
4. 関連文書 : Merge pull request #2001 from jline/backport/4.0.x/telnet-security-fixes  jline/jline3@86b7ba7  GitHub
5. 関連文書 : fix: backport telnet DoS mitigations (GHSA-47qp, GHSA-2r2c) to 3.x by gnodet  Pull Request #2000  jline/jline3  GitHub
6. 関連文書 : Merge pull request #2000 from jline/backport/jline-3.x/telnet-securit…  jline/jline3@3ea9cad  GitHub
7. 関連文書 : Release JLine 4.2.1  jline/jline3  GitHub

• [2026年08月20日]
    掲載