CVE-2021-21290
Açıklama
Netty; bakımı yapılabilir, yüksek performanslı protokol sunucuları ve istemcilerinin hızlı geliştirilmesi için açık kaynaklı, asenkron olay güdümlü bir ağ uygulama çerçevesidir. Netty'nin 4.1.59.Final sürümünden önceki sürümlerinde, Unix benzeri sistemlerde güvenli olmayan geçici dosya kullanımıyla ilgili bir güvenlik açığı bulunmaktadır. Netty'nin multipart dekoderleri kullanıldığında ve yüklemelerin diske geçici olarak kaydedilmesi etkinleştirildiğinde, yerel sistemin geçici dizini üzerinden yerel bilgi ifşası meydana gelebilir. Unix benzeri sistemlerde geçici dizin tüm kullanıcılar arasında paylaşılır. Bu nedenle, dosya/dizin izinlerini açıkça belirlemeyen API'ler kullanarak bu dizine yazmak, bilgi ifşasına yol açabilir. Bunun modern MacOS işletim sistemlerini etkilemediği kaydedilmiştir. Unix benzeri sistemlerdeki "File.createTempFile" yöntemi rastgele bir dosya oluşturur ancak varsayılan olarak bu dosyayı "-rw-r--r--" izinleriyle oluşturur. Dolayısıyla, bu dosyaya hassas bilgiler yazılırsa, diğer yerel kullanıcılar bu bilgileri okuyabilir. Netty'deki "AbstractDiskHttpData" bu durumdan etkilenmektedir. Bu sorun 4.1.59.Final sürümünde düzeltilmiştir. Geçici bir çözüm olarak, JVM başlatılırken kendi "java.io.tmpdir" değeriniz belirtilebilir veya dizini yalnızca mevcut kullanıcı tarafından okunabilir bir konuma ayarlamak için "DefaultHttpDataFactory.setBaseDir(...)" kullanılabilir.
Nasıl düzeltilir
- netty netty4.1.59 ya da sonraki bir sürüm
- oracle nosql_database20.3 ya da sonraki bir sürüm
- io.netty:netty-codec-http4.1.59.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.59 | 4.1.59 |
| debian debian_linux | 9.0, 10.0 | — |
| quarkus quarkus | v ≤ 1.13.7 | — |
| oracle banking_corporate_lending_process_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle banking_credit_facilities_process_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle banking_trade_finance_process_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle communications_brm_-_elastic_charging_engine | 12.0.0.3 | — |
| oracle communications_design_studio | 7.4.2 | — |
| oracle communications_messaging_server | 8.1 | — |
| oracle nosql_database | v < 20.3 | 20.3 |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| netapp cloud_secure_agent | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| io.netty:netty-codec-httpMaven | 4.0.0 ≤ v < 4.1.59.Final | 4.1.59.Final |
| org.jboss.netty:nettyMaven | Aralık belirtilmemiş | — |
| io.netty:nettyMaven | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.