CVE-2026-45674 — NettyのCNAMEレコード検証不備 CVE-2026-45674：影響範囲と対応方法 | つみかさね

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Netty	Netty	< 4.1.135.Final / < 4.2.15.Final

対応ガイド

high|推奨セキュリティ修正影響: 広範

推奨アクション

1依存関係ツリーで Netty のバージョンを確認する
2Netty 4.1.135.Final / 4.2.15.Final 以降へアップデートする
3間接依存の場合は利用フレームワーク側の更新反映を確認する

影響対象

Netty を利用するJavaアプリ・ミドルウェアの運用者非同期DNSリゾルバ利用者

対応不要な人

✓Netty を使用していない
✓Netty内蔵のDNSリゾルバを使っていない
✓修正版へ更新済み

補足

-Netty内蔵のDNSリゾルバを利用している構成が対象

30秒で判断

対応すべき人: Netty を 4.1.135.Final / 4.2.15.Final より前で使用し、Nettyの非同期DNSリゾルバ（io.netty.resolver.dns）を利用しているアプリ・基盤の方
対応不要な人: Netty を使用していない、Netty内蔵のDNSリゾルバを使っていない、修正版へ更新済みの方
確認コマンド: 依存関係ツリーで Netty のバージョンを確認（mvn dependency:tree / gradle dependencies）
クイックアクション: Netty 4.1.135.Final / 4.2.15.Final 以降へアップデート

概要

Netty 4.1.135.Final / 4.2.15.Final より前では、DnsResolveContext がDNS応答中のCNAMEレコードの出所（bailiwick）を十分に検証しません（CWE-345/CWE-346）。これにより、本来信頼すべきでないレコードを受け入れてしまい、DNSキャッシュポイズニングにつながる可能性があります。

CVSSスコアは 8.7（High） です。Nettyは多くのJava製ネットワークアプリ・ミドルウェアの基盤として利用されているため、DNSリゾルバを使う構成では影響範囲が広がりやすい点に注意が必要です。

CVSSベクトル

項目	値
CVSSスコア	8.7
深刻度	High
CWE	CWE-345（データ信頼性の不十分な検証）, CWE-346（オリジン検証エラー）
対象	Netty DNSリゾルバ

影響を受けるソフトウェア

製品	ベンダー	影響バージョン
Netty	Netty	4.1.135.Final / 4.2.15.Final より前

修正バージョンと回避策

4.1.135.Final または 4.2.15.Final 以降へアップデートしてください。Nettyを間接依存として取り込んでいるフレームワークやミドルウェアでは、それら側の更新反映も必要になる場合があります。

関連リンク

ソース	URL
NVD	https://nvd.nist.gov/vuln/detail/CVE-2026-45674
GitHub Advisory	https://github.com/netty/netty/security/advisories/GHSA-676x-f7gg-47vc
Release	https://github.com/netty/netty/releases/tag/netty-4.1.135.Final

データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-45674

GitHub Advisory:https://github.com/netty/netty/security/advisories/GHSA-676x-f7gg-47vc

Release:https://github.com/netty/netty/releases/tag/netty-4.1.135.Final