CVE-2026-56819 in Netty
要約
〜によって VulDB • 2026年07月22日
Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Finalまで、および4.1.0.Finalから4.1.135.Finalまでの間、HTTP/2のコンテンツ圧縮解除を`DelegatingDecompressorFrameListener`経由で有効にしたアプリケーションにおいて、リモート認証されていないピアが各HTTP/2 `DATA`フレームごとに1つの直接メモリ領域を持つ`ByteBuf`リークを引き起こす可能性があります。ストリームに対して処理される`DATA`フレームの圧縮解除器が既に閉じられている場合、`Http2Decompressor.decompress(...)`は`decompressor.writeInbound(data.retain())`を呼び出し、エラー発生時のパスで保持されたバッファを解放しないため、最終的に直接メモリを使い果たしJVMクラッシュを引き起こします。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.