Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - バージョン 4.2.0.Final から 4.2.16.Final まで、および 4.1.136.Final 以前のバージョンの Netty の HttpServerCodec (io.netty:netty-codec-http) は、1xx 情報応答を含めて、応答ごとに pollMethod() を呼び出すことで、各送信応答と受信リクエストをペアにします。クライアントが Expect: 100-continue ヘッダーに続いて HEAD リクエストを運ぶ HTTP/1.1 GET をパイプライン化する場合、100 Continue 応答はキューに入った GET メソッドを消費するため、GET の後続の 200 OK は HEAD とペアになり、本文はドロップされますが、HEAD リクエストの次の 200 OK は本文で書き込まれます。これにより、接続上の HTTP 解析の同期が解除されるため、GET エンティティは配信されず、HEAD 応答本文は GET 本文として解釈されるため、応答分割と安全でない接続再利用が発生します。4.2.17.Final および 4.1.137.Final で修正されました。(CVE-2026-100666)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-100666

medium Nessus プラグイン ID 350816

バージョン 1.1