Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Netty の STOMP コーデック(io.netty:netty-codec-stomp)は、StompSubframeDecoder に ByteBuf 漏洩があります。フレームの宣言された content-length が完全に読み込まれると、デコーダーはチャネルアロケータからチャンクバッファを割り当て、フレームを終了する単一の NULL バイトを待機している間に、それをインスタンスフィールドにパークします。そのバイトが到着しない場合、バッファは解放されません:skipNullCharacter によってスローされたリプレイ信号は Exception ではなく Error を拡張するため、デコーダーの catch(Exception) リリースパスは実行されず、StompSubframeDecoder は handlerRemoved0 も channelInactive もオーバーライドしないので、バッファはチャネルの分解後も生き残ります。リモートピアは、完全な整形式のフレーム本体を送信し、その終端 NULL バイトを保留することにより、接続ごとに 1 つのアロケーターバッファを漏洩させる可能性があります。デフォルトのプールされたアロケータでは、メモリがプールに返されたり、ガベージコレクションによって再利用されたりすることはないため、漏えいはプロセスの有効期間中蓄積され、メモリの枯渇につながる可能性があります。これは、4.1.137.Final までのバージョンと、4.2.0.Final から 4.2.17.Final までのバージョンに影響を与えます。これは 4.1.138.Final および 4.2.18.Final で修正されています。(CVE-2026-100657)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-100657

high Nessus プラグイン ID 350809

バージョン 1.2