CVE-2022-24823
Təsvir
Netty açıq mənbəli, asinxron hadisə əsaslı şəbəkə tətbiqi freymvorkudur. 4.1.77.Final versiyasından əvvəlki `io.netty:netty-codec-http` paketi CVE-2021-21290 üçün qeyri-kafi düzəliş ehtiva edir. Netty-nin multipart dekoderlərindən istifadə edildikdə, yükləmələrin diskdə müvəqqəti saxlanılması aktivdirsə, yerli sistemin müvəqqəti kataloqu vasitəsilə yerli məlumat sızması baş verə bilər. Bu, yalnız Java versiya 6 və daha aşağı versiyalarda işləyən tətbiqlərə təsir göstərir. Əlavə olaraq, bu zəiflik Unix-benzeri sistemlərdə, həmçinin Mac OSX və Windows-un çox köhnə versiyalarında işləyən koda təsir edir, çünki onların hamısı sistemin müvəqqəti kataloqunu bütün istifadəçilər arasında paylaşır. 4.1.77.Final versiyası bu zəiflik üçün yamı ehtiva edir. Alternativ həll yolu kimi, JVM başladılarkən öz `java.io.tmpdir` parametrini təyin edin və ya kataloqu yalnız cari istifadəçi tərəfindən oxuna bilən bir qovluğa təyin etmək üçün DefaultHttpDataFactory.setBaseDir(...) metodundan istifadə edin.
Necə düzəltmək olar
- netty netty4.1.77 və ya daha yeni versiya
- io.netty:netty-codec-http4.1.77.Final və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| netty netty | v < 4.1.77 | 4.1.77 |
| oracle financial_services_crime_and_compliance_management_studio | 8.0.8.2.0, 8.0.8.3.0 | — |
| netapp active_iq_unified_manager | Aralıq göstərilməyib | — |
| netapp oncommand_workflow_automation | Aralıq göstərilməyib | — |
| netapp snapcenter | Aralıq göstərilməyib | — |
| io.netty:netty-codec-httpMaven | v < 4.1.77.Final | 4.1.77.Final |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.