CVE-2026-56746 in Netty
要約
〜によって VulDB • 2026年07月22日
Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Finalまで、および4.1.0.Finalから4.1.135.Finalまでは、オリジン評価プロセス中にセキュリティ制御の回避が可能となる脆弱性に影響を受けます。CorsHandlerは、認可されていないクロスオリジンのリクエストを即座に拒否するように設計されたshortCircuit()設定を提供しており、これはリクエストがアプリケーションに到達する前に機能するセキュリティ制御として動作します。しかし、オリジン評価プロセスにおける論理演算子の誤りにより、この保護機構は完全に回避される可能性があります。攻撃者はOrigin: nullヘッダーを含むリクエストを送信することで、ショートサーキットメカニズムを回避できます。この失敗により、認可されていないリクエストがバックエンドアプリケーションに転送され、意図されたアクセス制御が迂回されます。本問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.