原文

Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Final以前のio.netty.handler.codec.stomp.StompSubframeDecoderは、フレームごとのヘッダーの総数またはそれらの累積サイズを制限できず、maxLineLengthパラメータは個々のヘッダー行のみを制限します。攻撃者は、多数の短いヘッダーを送信し、それらをDefaultStompHeadersSubframe内のメモリに蓄積させ、JVMがOutOfMemoryErrorを投げるまで続けることができ、その結果、StompSubframeDecoderをベースにしたSTOMPエンドポイントを公開しているサーバーに対してサービス拒否を引き起こします。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。