JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026185 Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Finalおよび4.1.0.Finalから4.1.135.Finalにおいて、Nettyチャネルパイプラインに`XmlDecoder`が含まれている場合、バイトを送信可能な任意の呼び出し元が、セキュリティ設定なしでインスタンス化された`AsyncXMLInputFactory`に`DOCTYPE`宣言を含むXMLを送信できます。その結果、DTDおよびエンティティ処理がAalto XML非同期パーサーの動作に依存して有効なままとなり、条件付きのXML外部エンティティリスクが発生します。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。 cpe:/a:netty:netty https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026185.html Common Vulnerabilities and Exposures (CVE) CVE-2026-56817 https://www.cve.org/CVERecord?id=CVE-2026-56817 National Vulnerability Database (NVD) CVE-2026-56817 https://nvd.nist.gov/vuln/detail/CVE-2026-56817 GitHub XML: Injection / Risky Sink — unconfigured XML factory with active DTD and entity handling Advisory netty/netty GitHub https://github.com/netty/netty/security/advisories/GHSA-4qhr-g3c6-fcfx JVNDB CWE-611 https://cwe.mitre.org/data/definitions/611.html 関連文書 Release netty-4.1.136.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.1.136.Final 関連文書 Release netty-4.2.16.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.2.16.Final 関連文書 Merge branches from forks (#17063) netty/netty@5b68c61 GitHub https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b 関連文書 Merge branches from forks (#17063) (#17065) netty/netty@bb2ff68 GitHub https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6 2026-07-31T14:59:26+09:00 2026-07-31T14:59:26+09:00