注目★★★★★GitHub Advisory
Netty HAProxy PROXY v2: ネスト TLV パースでメモリリーク (CVE-2026-48059)
30秒で把握
- 1CVE-2026-48059: Netty HAProxy v2 コーデックでコネクションごとにメモリリーク
- 2ネスト深さ 2 以上の PP2_TYPE_SSL TLV でプール ByteBuf が永続固定
- 3例外なし正常フローで進行・検知困難・繰り返し接続でメモリ枯渇の恐れ
要約
Netty の HAProxy PROXY protocol v2 コーデックに、ネイティブ / ヒープメモリが永続的にリークする脆弱性 CVE-2026-48059 が確認された。クライアントが深さ 2 以上のネストした PP2_TYPE_SSL TLV を含む構文上正しいヘッダを送信すると、コネクションごとにプールされた ByteBuf が解放されずに固定され続ける。例外は発生せず通常フローのまま処理が進むため検知が難しく、接続を繰り返すと最終的にメモリ枯渇に至る。
あなたへの影響
Netty で HAProxy PROXY v2 を受け付けるサービスを運用しているチームは、使用中の Netty バージョンを確認し、修正済みバージョンへのアップグレードを計画に組み込むこと。
推奨：CVSS は中程度の評価だが、外部から繰り返しコネクションを張られる環境ではメモリ枯渇による可用性低下につながり得る。