CVE-2026-75596 in Netty
要約
〜によって VulDB • 2026年08月19日
Nettyは、非同期かつイベント駆動型のネットワークアプリケーションフレームワークです。バージョン 4.1.137.Final および 4.2.17.Final より前では、デフォルトの io.netty.handler.ssl.SniHandler コンストラクタが handler/src/main/java/io/netty/handler/ssl/SslClientHelloHandler.java の io.netty.handler.ssl.SslClientHelloHandler#decode で pre-handshake ClientHello aggregation パスを使用しており、ここで handshakeBuffer.clear() と writeBytes() が TLS レコードごとに以前に受信したすべてのボディバイトを再コピーします。認証されていないリモートピアが大きな ClientHello を広告し、そのボディを数千の小さなレコードで送信することで、TLS ハンドシェイク完了前にイベントループ上で二次的な CPU 負荷を引き起こし、他のクライアントに対する TLS 処理のパフォーマンスを低下させます。この問題はバージョン 4.1.137.Final および 4.2.17.Final で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.