JVNDB-2026-030772

NettyにおけるNull バイト相互作用エラー (Poison Null Byte) の脆弱性

Netty（io.netty:netty-codec-socks）のバージョン4.2.0.Finalから4.2.16.Finalおよび4.1.xから4.1.136.Finalには、SOCKS4（Socks4ClientEncoder）およびSOCKS5（Socks5ClientEncoder）のクライアントエンコーダにおいて、ドメインアドレスおよび認証（ユーザー名／パスワード）フィールドの検証が不十分であるため、ヌルバイト、CRLF、および認証情報注入の脆弱性が存在します。これらのフィールドを制御できる攻撃者は、ヌルバイトやCRLF文字を注入して値を切り詰めたり変更したりすることが可能であり、その結果、ドメインのスプーフィング、SOCKS4におけるユーザーIDの切り詰め、認証データの注入、プロトコルの混乱を引き起こす可能性があります。この問題は、バージョン4.2.17.Finalおよび4.1.137.Finalで修正されました。

Netty

• Netty 4.1.137 未満
• Netty 4.2.0 以上 4.2.17 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SOCKS4/5 Proxy Encoder Null Byte and Credential Injection  Advisory  netty/netty  GitHub

VulnCheck

• VulnCheck : Netty before 4.2.16.Final SOCKS Proxy Null Byte Injection  | Advisories | VulnCheck

1. Null バイト相互作用エラー (Poison Null Byte)(CWE-626) [その他]

1. CVE-2026-62380

1. National Vulnerability Database (NVD) : CVE-2026-62380

• [2026年08月28日]
    掲載