CVE-2026-59919 in Netty
要約
〜によって VulDB • 2026年07月29日
Nettyは、非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Finalより前のNettyでは、HAProxyエンコーダー（`HAProxyMessageEncoder`）がAF_UNIXのソースおよび宛先ソケットアドレスをCRLF文字について検証せずにHAProxy V1テキストプロトコルに書き込むため、AF_UNIXアドレスを制御する攻撃者は`\r\n`シーケンスを注入し、単一のPROXYヘッダーを複数の行に分割することができます。これはV1プロトコルが行区切りとしてCRLFを使用しており、IPv4/IPv6アドレスは形式チェックによって暗黙的にCRLFが拒否されるのに対し、AF_UNIXアドレスは長さ（最大108バイト）のみで検証されているためです。これにより、下流サーバーまたはロードバランサーに対してクライアントのソース/宛先IPを偽装する2番目のPROXYヘッダー行を作成することが可能になります。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.