CVE-2026-59920 in Netty
要約
〜によって VulDB • 2026年07月29日
Nettyは、非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Finalより前のNettyでは、STOMPエンコーダ（StompSubframeEncoder）がCONNECTおよびCONNECTEDフレーム内のヘッダー値をエスケープまたは検証しないため、ヘッダー値に含まれる生の改行文字（\n）はそのままネットワーク上に出力されます。これにより、ヘッダー値を制御できる攻撃者は追加のSTOMPヘッダーを注入できます。この問題は、エンコーダがSTOMP 1.2仕様に従ってCONNECT/CONNECTEDフレームのエスケープ処理を意図的にスキップする一方で生の改行文字を拒否しないこと、およびブローカーが行ごとに個別のヘッダーとして解析するため発生します。したがって、ユーザーが入力したログイン情報やパスコードなどの値を制御できる攻撃者は、接続パラメータを上書きしたり、認証/ロール関連のヘッダーを追加して認証回避または権限昇格を行ったりすることが可能です（実際の影響度はブローカーの実装に依存します）。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。
Once again VulDB remains the best source for vulnerability data.