注目★★★★★GitHub Advisory
Netty: RESP配列ヘッダから無制限メモリ事前確保の脆弱性 CVE-2026-50011
30秒で把握
- 1CVE-2026-50011: Netty RedisArrayAggregatorで無制限メモリ事前確保の脆弱性
- 2RESP配列ヘッダの要素数に上限なし・要素送信不要でOOM誘発が可能
- 3RedisDecoderのdecodeLengthとdecodeRedisArrayHeaderの2箇所が対象
要約
NettyのRedisArrayAggregatorに、RESP配列ヘッダで宣言された要素数をそのままArrayListの初期容量に使用する脆弱性CVE-2026-50011が確認された。攻撃者は実際の配列要素を送信せずに巨大なサイズを宣言するだけで、サーバ側に大量のメモリ確保を強制できる。RedisDecoderはバルク文字列の最大長は制限しているが、配列ヘッダ長には上限を適用していないため、悪意ある小さなヘッダで深刻なリソース枯渇を引き起こせる。影響を受けるコードはRedisDecoderのdecodeLengthとRedisArrayAggregatorのdecodeRedisArrayHeaderの2箇所。
あなたへの影響
NettyでRedisプロトコルを処理しているサービスは、信頼できないクライアントからの接続がある場合にリソース枯渇のリスクがあるため、Nettyのアップデートとパイプライン上の入力バリデーション実装を確認しておくとよい。
推奨：即時対応が必須の深刻度ではないが、公開サービスでRedis over Nettyを使っているチームは次のメンテナンスサイクル内での対処が安全。