CVE-2021-21290

Netty, saxlanıla bilən yüksək performanslı protokol serverlərinin və klientlərinin sürətli hazırlanması üçün açıq mənbəli, asinxron hadisə əsaslı şəbəkə tətbiqi freymvorkudur. Netty-nin 4.1.59.Final versiyasından əvvəlki versiyalarında Unix bənzəri sistemlərdə təhlükəsiz olmayan müvəqqəti faylla bağlı zəiflik mövcuddur. Netty-nin multipart dekoderləri istifadə edildikdə, yükləmələrin diskdə müvəqqəti saxlanılması aktiv edilmişdirsə, yerli sistemin müvəqqəti kataloqu vasitəsilə lokal məlumat sızması baş verə bilər. Unix bənzəri sistemlərdə müvəqqəti kataloq bütün istifadəçilər arasında paylaşılır. Buna görə də, fayl/kataloq icazələrini açıq şəkildə təyin etməyən API-lardan istifadə edərək bu kataloqa yazı yazmaq məlumat sızmasına səbəb ola bilər. Qeyd etmək lazımdır ki, bu, müasir MacOS Əməliyyat Sistemlərinə təsir etmir. Unix bənzəri sistemlərdə "File.createTempFile" metodu təsadüfi fayl yaradır, lakin standart olaraq bu faylı "-rw-r--r--" icazələri ilə yaradır. Beləliklə, əgər həssas məlumatlar bu fayla yazılarsa, digər lokal istifadəçilər bu məlumatları oxuya bilərlər. Bu hal Netty-nin "AbstractDiskHttpData" komponentində müşahidə olunur. Problem 4.1.59.Final versiyasında aradan qaldırılmışdır. Alternativ həll yolu kimi, JVM-i başladarkən öz "java.io.tmpdir" parametrini təyin edə və ya kataloqu yalnız cari istifadəçi tərəfindən oxuna bilən bir qovluğa təyin etmək üçün "DefaultHttpDataFactory.setBaseDir(...)" metodundan istifadə edə bilərsiniz.