Nettyのnetty-incubator-codec-ohttpにおける不十分なランダム値の使用に関する脆弱性
| Title |
Nettyのnetty-incubator-codec-ohttpにおける不十分なランダム値の使用に関する脆弱性
|
| Summary |
netty incubator codec.bhttpはJava言語で実装されたバイナリHTTPパーサーです。バージョン0.0.21.Final以前の版では、HKDF_expandが失敗した場合にNULL以外の値を返します。byte[]はゼロで埋められ、成功と失敗を区別できません。この出力はレスポンスAEADのHKDFキー素材として使用されるため、失敗すると静かに全ゼロのキーが生成されてしまいます。また、EVP_HPKE_CTX_exportが失敗した場合もすべてゼロの空のbyte[]配列が返されます。このbyte[]は直接OHttpCrypto.createResponseAEAD(...)に渡されます。静かな全ゼロのエクスポートシークレットは決定的かつ攻撃者に予測可能なAEADキーを生成する可能性があります。この問題はバージョン0.0.21.Finalで修正されました。
|
| Possible impacts |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| Solution |
ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date |
June 4, 2026, midnight |
| Registration Date |
June 8, 2026, 12:28 p.m. |
| Last Update |
June 8, 2026, 12:28 p.m. |
|
CVSS3.0 : 警告
|
| Score |
5.3
|
| Vector |
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Affected System
| Netty |
|
netty-incubator-codec-ohttp 0.0.21 未満
|
CVE (情報セキュリティ 共通脆弱性識別子)
CWE (共通脆弱性タイプ一覧)
ベンダー情報
その他
Change Log
| No |
Changed Details |
Date of change |
| 1 |
[2026年06月08日]
掲載 |
June 8, 2026, 12:28 p.m. |
NVD Vulnerability Information
CVE-2026-41207
| Summary |
The netty incubator codec.bhttp is a java language binary http parser. Prior to version 0.0.21.Final, HKDF_expand returns non-NULL on failure. The byte[] is filled with zeros and has no way to distinguish success from failure. Since this output is used as HKDF key material for the response AEAD, a failure silently produces an all-zero key. When EVP_HPKE_CTX_export fails it also returns an empty byte[] array filled with zeros. This byte[] feeds directly into OHttpCrypto.createResponseAEAD(...). A silent all-zero export secret would produce a deterministic, attacker-predictable AEAD key. Version 0.0.21.Final patches the issue.
|
| Publication Date |
June 5, 2026, 3:16 a.m. |
| Registration Date |
June 5, 2026, 4:11 a.m. |
| Last Update |
June 6, 2026, 6:01 a.m. |
Affected software configurations
| Configuration1 |
or higher |
or less |
more than |
less than |
| cpe:2.3:a:netty:netty-incubator-codec-ohttp:*:*:*:*:*:*:*:* |
|
|
|
0.0.21 |
Related information, measures and tools
Common Vulnerabilities List