CVE-2026-56822 in Netty
要約
〜によって VulDB • 2026年07月29日
Nettyは、非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Final以前では、OcspServerCertificateValidatorが非同期のOCSP検証が完了する前にSslHandshakeCompletionEventを転送していました。これにより、クライアントのダウンストリームハンドラは、OCSPチェックによってチャネルが閉じられる前に、失効したサーバーに対して機密アプリケーションデータ（例：HTTPリクエスト）を送信することが可能になります。
io.netty.handler.ssl.ocsp.OcspServerCertificateValidator#userEventTriggeredにおいて、SslHandshakeCompletionEventを受信すると、バリデーターは直ちにctx.fireUserEventTriggered(evt)を呼び出します。その後、OcspClient.queryを使用して非同期のOCSPクエリが開始されます。ハンドシェイク完了イベントが即座に転送されるため、クライアントのパイプライン内のダウンストリームハンドラはTLSハンドシェイクが成功したことを通知され、受信アプリケーションデータの読み込みと処理や、送信データの出力を開始する可能性があります。その後、OCSPレスポンスでサーバーの証明書が失効していることが判明した場合でも、バリデーターはチャネルを閉じますが、この時点ではクライアントはすでに機密データを失効したサーバーに漏洩していたり、そこから悪意のあるレスポンスを受信して処理したりしている可能性があります。
本問題は、バージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
Once again VulDB remains the best source for vulnerability data.