JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026183 Nettyは、プロトコルサーバおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Finalおよび4.1.135.Final以前では、`OcspClient`はOCSPレスポンス内の`CertificateID`が要求された`CertificateID`と一致するかどうかを検証しません。そのため、リプレイ攻撃を受ける可能性があります。`OcspClient.validateResponse`は、同じCAによって発行された無関係な証明書に対して正当に署名された`GOOD`ステータスのレスポンスを受け入れてしまい、他の証明書の失効チェックを回避できる状態になっています。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。 cpe:/a:netty:netty https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026183.html Common Vulnerabilities and Exposures (CVE) CVE-2026-56820 https://www.cve.org/CVERecord?id=CVE-2026-56820 National Vulnerability Database (NVD) CVE-2026-56820 https://nvd.nist.gov/vuln/detail/CVE-2026-56820 GitHub Missing CertificateID Validation in OCSP Response Allows Replay Attacks Advisory netty/netty GitHub https://github.com/netty/netty/security/advisories/GHSA-272m-gcwp-mpwg JVNDB CWE-295 https://cwe.mitre.org/data/definitions/295.html 関連文書 Release netty-4.2.16.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.2.16.Final 関連文書 Merge branches from forks (#17063) netty/netty@5b68c61 GitHub https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b 関連文書 Merge branches from forks (#17063) (#17065) netty/netty@bb2ff68 GitHub https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6 関連文書 Release netty-4.1.136.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.1.136.Final 2026-07-31T14:59:19+09:00 2026-07-31T14:59:19+09:00