注目★★★★★GitHub Advisory
Netty OHTTP コーデック、フィールドセクション解析の無限ループで CPU 枯渇 (CVSS 7.5)
30秒で把握
- 1netty-incubator-codec-ohttp の BinaryHttpParser で無限ループ型 DoS (CVSS 7.5・認証不要)
- 2フィールドセクション解析ループが assert 依存で脱出条件が不可達・CPU 枯渇の再現確認済み
- 3OHTTP ゲートウェイ・クライアント運用チームは早急にベンダーパッチ確認と入力検証強化を実施
要約
Netty の OHTTP コーデック内 `BinaryHttpParser` に、Binary HTTP フィールドセクション解析の無限ループによる CPU 枯渇型 DoS 脆弱性が存在する (CVSS 7.5・CVE-2026-63202)。認証不要のネットワーク攻撃で到達可能で、バージョン 0.0.22.Final + 3 コミット以降が影響を受ける。ループは JavaScript の assert に依存しており assert が無効化されるテスト環境でハング状態が再現された。OHTTP ゲートウェイ・クライアント両側のコーデックから到達可能なため、復号済み本体を直接 `BinaryHttpParser.parse()` に渡すプロトコル実装は即座のパッチ適用が必須。
あなたへの影響
Netty OHTTP コーデックを本番運用するチームは、ベンダーパッチの公開を待たずに応急対応 (入力サイズ制限・タイムアウト検証・アサーション有効化確認) を今週中に検証すべき。
推奨：CWE-835 (ループ脱出条件不可達) は解析しづらいため、脆弱性スキャナだけに頼らず手動コード監査も合わせて実施することを推奨する。