30秒で判断
対応すべき人:
- netty-handler 4.1.135.Final / 4.2.15.Final より前を使用している
- かつ
IpSubnetFilterRuleを用いた IPv6 ベースのアクセス制御を行っている
対応不要な人:
- netty-handler 4.1.135.Final / 4.2.15.Final 以降へアップグレード済み
IpSubnetFilterRuleによるIPフィルタリングを使用していない- IPv6のサブネットルールを使用していない
確認コマンド:
mvn dependency:tree | grep netty-handler
./gradlew dependencies | grep netty
概要
Netty はプロトコルサーバ/クライアント開発のためのネットワークアプリケーションフレームワークです。netty-handler の 4.1.135.Final / 4.2.15.Final より前のバージョンでは、IpSubnetFilterRule.compareTo() の マスク処理が誤っている ため、IPv6サブネットルールを回避され得ます。
その結果、本来ブロックまたは許可の対象を区別すべき箇所で、有効な公開IPアドレスが制限をすり抜け てしまう可能性があります（CWE-284 不適切なアクセス制御）。IPフィルタでアクセス元を制御しているアプリケーションで影響が生じ得ます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.1（High） |
| CWE | CWE-284 / CWE-697 / CWE-1287 |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 必要な特権 (PR) | なし (N) |
| ユーザーの関与 (UI) | 不要 (N) |
| 前提条件 | IPv6サブネットによるIPフィルタリング構成 |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| io.netty:netty-handler | 4.1.135.Final より前（4.1系） |
| io.netty:netty-handler | 4.2.15.Final より前（4.2系） |
修正バージョンと回避策
修正バージョン: netty-handler 4.1.135.Final / 4.2.15.Final
暫定策として、アプリケーション層のIPフィルタに依存せず、ネットワーク/ロードバランサ側でのアクセス制御を併用することも緩和策になります。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。