Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty は、プロトコルサーバーおよびクライアントを開発するためのネットワークアプリケーションフレームワークです。バージョン 4.1.135.Final および 4.2.15.Final より前では、SslClientHelloHandler.decode() は 24 ビット TLS ハンドシェイク長を読み取り、ClientHello が最初のレコードに収まらないとき、「ctx.alloc().buffer(handshakeLength)」を熱心に割り当てます(161 行目)。行 140 のガードは「handshakeLength > maxClientHelloLength &; maxClientHelloLength != 0」であり、一般的に使用される SniHandler/AbstractSniHandler コンストラクター(SniHandler(Mapping)、SniHandler(AsyncMapping)、AbstractSniHandler())は maxClientHelloLength=0 および handshakeTimeoutMillis=0 を渡すため、長さガードは無効になり、タイムアウトはスケジュールされません。16 MiB のリクエストがデフォルトのプールされたチャンクサイズを超えて、すぐに実行される巨大な/プールされていない割り当てになります。バッファは、チャネルが閉じるまでハンドラーに保持されます。バージョン 4.1.135.Final および 4.2.15.Final は、この問題にパッチを適用します。(CVE-2026-45416)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-45416

high Nessus プラグイン ID 320899

バージョン 1.3