7件のアドバイザリはそれぞれ異なる修正バージョンを指定しています。4.1系では 124 / 132 / 135 / 135 / 135 / 136 / 136 です。単一のアドバイザリに従うだけでは、他のCVEの影響範囲内に留まります。7件すべてをクリアするバージョンは計算する必要があります — そしてそれはどのアドバイザリにも記載されていません。

4.2系でも同様で、数値はまったく異なります（4 / 11 / 15 / 15 / 15 / 16 / 16）。 4.2.15.Final を使用している人は7件中5件を修正済みで、「新しい系にいる」と思い込むことがよくあります。

そして、意図的に pom.xml をスキャンしません

Spring WebFluxを使用する場合、netty-codec-http2 は以下の経路で導入されます:

artifactIdは pom.xml に一切出現しません。 pomベースのチェックは「使用していない」と回答しますが、それは誤りです。このツールは実際に配布されるJARを読み取ります。

使用方法

Windowsコンソールで出力が文字化けする場合は --utf8 / --gbk を使用します。

例:

主張しないこと

• これら7件のみ。 クリーンな出力はNettyに問題がないことを意味しません。
• 7件中4件は medium。 high と評価されているのは CVE-2025-55163、CVE-2026-33871、CVE-2026-56819 のみです。このツールは各深刻度を個別に出力します。あなたもそうすべきです。
• 推測は一切しません。 解析不能なバージョン、未知のリリース系（4.0、5.0）、読み取り不能なアーカイブ — すべて 判定不能 として報告され、安全 とは決して報告されません。
• grpc-netty-shaded は検出されますが、そのコーディネートを記載しているのは CVE-2025-55163 のみです。「アドバイザリに記載がない」ことは「影響を受けない」ことではありません。

隠さず表面化する正直な特異点

4.2系の CVE-2026-33871: 影響範囲は < 4.2.10.Final ですが、記載された修正は 4.2.11.Final です。4.2.10 はその間に位置します — 範囲外であり、修正未満です。このツールはこれをデフォルトの「安全」ブランチに落とすのではなく、明示的に報告します。

ルール表は手入力ではなく生成されます

tools/gen_rules.py はGitHubアドバイザリから直接 RuleTable.java を構築し、5つのアサーションが成立しない限り何も出力しません — 計算された共通部分が本当に 4.1.136.Final / 4.2.16.Final であること、それらがMaven Centralに存在する一方でセンチネルバージョンが404を返すことなどが含まれます。

tools/recheck_before_publish.py は、意図的に無関係なソース を通じて重要な主張を再検証します: NVD（OSVではなく — そのMavenデータはGHSAを反映）、Maven Central、そして実際のJARのバイトコード。バイトコードチェックは双方向です: 修正マーカーが 4.1.136 に存在し、4.1.135 には存在しない必要があります。この後半部分が初回実行時に不正なチェックを検出しました。

ビルド

ライセンス

MIT