JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-026188 Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Final、および4.1.0.Finalから4.1.135.Finalまでの間で、NettyのSPDYからHTTPへのコーデックにある`SpdyHttpDecoder`ハンドラーは、クライアント起因の`SYN_STREAM`フレーム（`FLAG_FIN=0`）を処理する際にプールされた`ByteBuf`を割り当て、部分的に構築した`FullHttpRequest`を`messageMap`に格納します。リモートピアがそのストリームに対して`RST_STREAM`を送信するか、蓄積されたコンテンツが`maxContentLength`を超えた場合、デコーダはエントリを削除しますが、プールされた`ByteBuf`を解放しないため、ネイティブメモリが枯渇します。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。 cpe:/a:netty:netty https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-026188.html Common Vulnerabilities and Exposures (CVE) CVE-2026-56745 https://www.cve.org/CVERecord?id=CVE-2026-56745 National Vulnerability Database (NVD) CVE-2026-56745 https://nvd.nist.gov/vuln/detail/CVE-2026-56745 GitHub [SpdyHttpDecoder] ByteBuf Reference Leak on RST_STREAM Leads to Native Memory Exhaustion Advisory netty/netty GitHub https://github.com/netty/netty/security/advisories/GHSA-jppx-w49h-x2qq JVNDB CWE-400 https://cwe.mitre.org/data/definitions/400.html 関連文書 Release netty-4.2.16.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.2.16.Final 関連文書 Merge branches from forks (#17063) netty/netty@5b68c61 GitHub https://github.com/netty/netty/commit/5b68c61f37aa4a3045cba624cbea239655c9003b 関連文書 Merge branches from forks (#17063) (#17065) netty/netty@bb2ff68 GitHub https://github.com/netty/netty/commit/bb2ff68a1fb71cb4b0eb9a9e17b66c52aff680c6 関連文書 Release netty-4.1.136.Final netty/netty GitHub https://github.com/netty/netty/releases/tag/netty-4.1.136.Final 2026-07-31T14:59:36+09:00 2026-07-31T14:59:36+09:00