Netty の XmlDecoder に XXE の危険（DTD 処理が有効なまま）

Critical（CVSS 9.8）に分類されるNetty Nettyの脆弱性です。Netty の XmlDecoder が、内部で使う Aalto XML の AsyncXMLInputFactory をセキュリティ設定なしで生成しているため、DTD と実体参照の処理が有効なまま残る。XmlDecoder を含むパイプラインにバイト列を送り込める相手は、DOCTYPE 宣言つきの XML を投げて外部実体参照（XXE）を引き起こし得る。GitHub のアドバイザリは、実際の挙動が Aalto の非同期パーサに依存するため条件付きのリスクだとしている。影響範囲は 4.1.0.Final から 4.1.135.Final と 4.2.0.Final から 4.2.15.Final で、修正版は 4.1.136.Final と 4.2.16.Final。4.1 系はほぼ全世代が対象になる。CVSS は評価元で割れており、NVD（Primary、nvd@nist.gov）は 3.1 で 9.8 Critical（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の GitHub（security-advisories@github.com）は 4.0 で 8.3 High（AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:N/VA:L/SC:N/SI:N/SA:N）としている。GitHub 側は成立に条件が伴う点を AT:P とし影響を機密性中心（VC:H）と見るが、NVD は三要素すべてに高い影響を認める。CWE は CWE-611。KEV 未収載。NVD の vulnStatus は Analyzed。

該当判定の軸は 2 つで、Netty の版と XmlDecoder を使っているかどうかである。版は Maven の mvn dependency:tree や Gradle の gradle dependencies で io.netty を出し、4.1 系は 4.1.136.Final 未満、4.2 系は 4.2.16.Final 未満なら対象になる。XmlDecoder は netty-codec の XML 用デコーダで、パイプラインに明示的に組み込まない限り通らないため、grep で XmlDecoder を追加している箇所（ChannelPipeline への addLast など）を探すのが確実である。XML を扱わない用途で Netty を使っているだけなら、この経路は使われていない。見落としやすいのは、Netty を直接使っていないのに依存ツリーに入っているケースで、Spring の Reactor Netty、gRPC-Java、各種データストアのクライアントが内部で Netty を引く。この場合も XmlDecoder が無ければ発火しないが、版は上げておくのが筋である。すぐに更新できない場合の緩和は、XmlDecoder を通る経路を閉じることになる。XML を受け付ける必要が本当にあるのかを見直し、不要ならパイプラインから外す、必要なら前段で DOCTYPE 宣言を含むペイロードを落とす、XML を受け付けるエンドポイントへの到達を信頼できる相手に限定する、という順で当たり面を減らす。XXE は外部への通信を伴うことが多いので、当該プロセスからの外向き通信（特に想定外のホストへの HTTP や DNS）を制限しておくと影響を抑えられる。完了条件は、（1）io.netty が 4.1.136.Final 以降または 4.2.16.Final 以降であること、（2）XmlDecoder を使っている経路の棚卸しが済み、必要のないものは外れていること、（3）暫定的に前段で落としていた場合はその設定が更新後も矛盾していないこと、である。

Netty Netty を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-56817）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。