JVNDB-2026-034169

NettyにおけるHTTP リクエストスマグリングに関する脆弱性

Nettyのバージョン4.1.133.Finalから4.1.137.Finalおよび4.2.13.Finalから4.2.17.Finalにおいて、Transfer-Encodingヘッダー内の最終的な転送符号の検証が適切に行われないため、攻撃者が不正な符号宣言を使用してリクエストを密輸（スムグリング）できる可能性があります。攻撃者は、Transfer-Encodingヘッダーを複数行に分割したり、『chunked, xchunked』のような値を使用して検証を回避し、最終的な符号がchunkedでない場合でもメッセージをchunkedとしてデコードさせることができ、これによってリクエストスムグリング攻撃が成立します。

Netty

• Netty 4.1.133 以上 4.1.138 未満
• Netty 4.2.13 以上 4.2.18 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Incomplete validation of malformed Transfer-Encoding allows HTTP request smuggling  Advisory  netty/netty  GitHub

VulnCheck

• VulnCheck : Netty 4.1.133.Final through 4.1.137.Final and 4.2.13.Final through 4.2.17.Final HTTP Request Smuggling via Transfer-Encoding  | Advisories | VulnCheck

1. HTTP リクエストスマグリング(CWE-444) [その他]

1. CVE-2026-89044

1. National Vulnerability Database (NVD) : CVE-2026-89044
2. 関連文書 : netty/codec-http/src/main/java/io/netty/handler/codec/http/HttpObjectDecoder.java at netty-4.1.137.Final  netty/netty  GitHub
3. 関連文書 : Release netty-4.1.138.Final  netty/netty  GitHub
4. 関連文書 : Reject invalid request Transfer-Encoding framin  netty/netty@640d4d3  GitHub
5. 関連文書 : Reject invalid request Transfer-Encoding framin  netty/netty@ca87393  GitHub
6. 関連文書 : GitHub - netty/netty: Netty project - an event-driven asynchronous network application framework  GitHub
7. 関連文書 : Release netty-4.2.18.Final  netty/netty  GitHub

• [2026年09月17日]
    掲載