注目★★★★★GitHub Advisory
Netty HTTP/3 QPACK に OOM クラッシュ脆弱性 CVE-2026-48748
30秒で把握
- 1CVE-2026-48748: Netty HTTP/3 QPACKでOOMクラッシュの脆弱性確認
- 2BLOCKED_STREAMS未設定時に上限チェックが無効化・無限ストリーム生成が可能
- 3JVMメモリ枯渇→クラッシュ・HTTP3_SETTINGS_QPACK_BLOCKED_STREAMS要設定確認
要約
NettyのHTTP/3コーデックにメモリ枯渇脆弱性CVE-2026-48748が確認された。`QpackDecoder`のブロック済みストリーム数チェックに実装ミスがあり、`maxBlockedStreams`が0のとき条件式が`blockedStreamsCount == -1`と評価され、上限チェックが永遠に成立しない。攻撃者は無限にブロックストリームを生成でき、各ストリームの`ReadResumptionListener`がコネクション存続中メモリに保持され続けてJVMがOOMクラッシュする。`HTTP3_SETTINGS_QPACK_MAX_TABLE_CAPACITY`を0より大きく設定しつつ`HTTP3_SETTINGS_QPACK_BLOCKED_STREAMS`を明示設定していない構成が影響を受ける。
あなたへの影響
NettyでHTTP/3を有効化しているサービスは、`HTTP3_SETTINGS_QPACK_BLOCKED_STREAMS`の設定値を即日確認し、0のまま放置していないかを検証した上でパッチ適用または明示的な値の設定を行うこと。
推奨：JVMクラッシュによる可用性喪失リスクがあるため、本番環境への影響確認を優先推奨。