CVE-2026-100657 in Netty
要約
〜によって VulDB • 2026年09月26日
NettyのSTOMPコーデック（io.netty:netty-codec-stomp）には、StompSubframeDecoderにおけるByteBufリークが存在します。フレームで宣言されたcontent-lengthが完全に読み込まれると、デコーダはチャネルアロケータからチャンクバッファを割り当て、フレームを終了する単一のNULバイトを待機している間、インスタンスフィールドに保持（park）します。もしそのバイトが届かない場合、バッファは解放されません：skipNullCharacterによってスローされるreplay SignalがExceptionではなくErrorを拡張しているため、デコーダのcatch(Exception)による解放パスは実行されず、StompSubframeDecoderがhandlerRemoved0およびchannelInactiveをオーバーライドしていないため、チャネル終了時にもバッファが残存します。リモートピアは、完全で整形式なフレームボディを送信し、終端のNULバイトを withheld（保持）することで、接続ごとに1つのアロケータバッファリークを引き起こすことができます。デフォルトのpooled allocatorを使用している場合、メモリはプールに戻されずガベージコレクションでも回収されないため、このリークはプロセスの存続期間中に蓄積し、メモリの尽き（memory exhaustion）を招く可能性があります。これは4.1.137.Finalおよびそれ以前のバージョン、ならびに4.2.0.Finalから4.2.17.Finalまでのバージョンに影響します；この問題は4.1.138.Finalおよび4.2.18.Finalで修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.