JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024925 Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.1.136.Finalおよび4.2.16.Final以前のio.netty.handler.codec.stomp.StompSubframeDecoderは、フレームごとのヘッダーの総数またはそれらの累積サイズを制限できず、maxLineLengthパラメータは個々のヘッダー行のみを制限します。攻撃者は、多数の短いヘッダーを送信し、それらをDefaultStompHeadersSubframe内のメモリに蓄積させ、JVMがOutOfMemoryErrorを投げるまで続けることができ、その結果、StompSubframeDecoderをベースにしたSTOMPエンドポイントを公開しているサーバーに対してサービス拒否を引き起こします。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。 cpe:/a:netty:netty https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024925.html Common Vulnerabilities and Exposures (CVE) CVE-2026-44891 https://www.cve.org/CVERecord?id=CVE-2026-44891 National Vulnerability Database (NVD) CVE-2026-44891 https://nvd.nist.gov/vuln/detail/CVE-2026-44891 GitHub Denial of Service via Unbounded Headers in StompSubframeDecoder Advisory netty/netty GitHub https://github.com/netty/netty/security/advisories/GHSA-vhch-2wf3-m8rp JVNDB CWE-770 https://cwe.mitre.org/data/definitions/770.html JVNDB CWE-400 https://cwe.mitre.org/data/definitions/400.html 関連文書 Merge branches from forks by chrisvest Pull Request #17063 netty/netty GitHub https://github.com/netty/netty/pull/17063 関連文書 Merge branches from forks (#17063) by normanmaurer Pull Request #17065 netty/netty GitHub https://github.com/netty/netty/pull/17065 関連文書 Merge branches from forks (#17063) netty/netty@5b68c61 GitHub https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b 関連文書 Release netty-4.2.16.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.2.16.Final 関連文書 Merge branches from forks (#17063) (#17065) netty/netty@bb2ff68 GitHub https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6 関連文書 Release netty-4.1.136.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.1.136.Final 2026-07-24T10:06:53+09:00 2026-07-24T10:06:53+09:00