JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026186 Nettyはプロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。4.2.16.Finalより前のバージョンでは、Nettyの`Http3FrameCodec`がHTTP/3の予約フレームタイプの受信データを、ワイヤーで指定されたペイロード長まで無制限にバッファリングしていました。`decodeFrame`は`payLoadLength`を信用しており、攻撃者は複数のQUICストリームを開設して非常に大きなペイロード長を持つ予約フレームを送信し、メモリ枯渇およびサービス拒否（DoS）を引き起こすことが可能でした。この問題はバージョン4.2.16.Finalで修正されています。 cpe:/a:netty:netty https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026186.html Common Vulnerabilities and Exposures (CVE) CVE-2026-56816 https://www.cve.org/CVERecord?id=CVE-2026-56816 National Vulnerability Database (NVD) CVE-2026-56816 https://nvd.nist.gov/vuln/detail/CVE-2026-56816 GitHub Memory Exhaustion via HTTP/3 Reserved Frame Types Advisory netty/netty GitHub https://github.com/netty/netty/security/advisories/GHSA-hpcc-26xq-25fv JVNDB CWE-400 https://cwe.mitre.org/data/definitions/400.html 関連文書 Release netty-4.2.16.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.2.16.Final 関連文書 Merge branches from forks (#17063) netty/netty@5b68c61 GitHub https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b 2026-07-31T14:59:29+09:00 2026-07-31T14:59:29+09:00