Nettyは、非同期のイベント駆動型ネットワークアプリケーションフレームワークです。バージョン4.1.129.Finalおよび4.2.8.Finalより前のバージョンでは、リクエストの構築時に`io.netty.handler.codec.http.HttpRequestEncoder`がリクエストURIにCRLFインジェクションの脆弱性を持っていました。この脆弱性により、URIが適切にサニタイズされずに`HttpRequestEncoder`が使用されると、リクエストスマグリングが発生する可能性があります。また、`HttpRequestEncoder`を利用するアプリケーションやフレームワークは、CRLFインジェクションを利用したリクエストスマグリングの被害を受けるおそれがあります。バージョン4.1.129.Finalおよび4.2.8.Finalで、この問題は修正されています。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。