CVE-2021-21409
Açıklama
Netty; bakımı kolay, yüksek performanslı protokol sunucuları ve istemcilerinin hızlı geliştirilmesi için açık kaynaklı, asenkron olay güdümlü bir ağ uygulama çerçevesidir. Netty'nin (io.netty:netty-codec-http2) 4.1.61.Final sürümünden önceki versiyonlarında, istek kaçakçılığına (request smuggling) olanak tanıyan bir zafiyet bulunmaktadır. İstek yalnızca endStream değeri true olarak ayarlanmış tek bir Http2HeaderFrame kullandığında, content-length başlığı doğru şekilde doğrulanmamaktadır. Bu durum, isteğin uzak bir eşe yönlendirilmesi ve HTTP/1.1'e dönüştürülmesi halinde istek kaçakçılığına yol açabilir. Bu durum, bu vakayı düzeltmeyi atlayan GHSA-wm47-8v5p-wjpj/CVE-2021-21295'in devamı niteliğindedir. Sorun 4.1.61.Final sürümüyle birlikte giderilmiştir.
Nasıl düzeltilir
- netty netty4.1.61 ya da sonraki bir sürüm
- oracle jd_edwards_enterpriseone_tools9.2.6.3 ya da sonraki bir sürüm
- oracle nosql_database21.1.12 ya da sonraki bir sürüm
- io.netty:netty-codec-http24.1.61.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.61 | 4.1.61 |
| debian debian_linux | 10.0 | — |
| netapp oncommand_api_services | Aralık belirtilmemiş | — |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| oracle banking_corporate_lending_process_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle banking_credit_facilities_process_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle banking_trade_finance_process_management | 14.2.0, 14.3.0, 14.5.0 | — |
| oracle coherence | 12.2.1.4.0, 14.1.1.0.0 | — |
| oracle communications_brm_-_elastic_charging_engine | 12.0.0.3 | — |
| oracle communications_cloud_native_core_console | 1.7.0 | — |
| oracle communications_cloud_native_core_policy | 1.14.0 | — |
| oracle communications_design_studio | 7.4.2.0.0 | — |
| oracle communications_messaging_server | 8.1 | — |
| oracle helidon | 1.4.10, 2.4.0 | — |
| oracle jd_edwards_enterpriseone_tools | v < 9.2.6.3 | 9.2.6.3 |
| oracle nosql_database | v < 21.1.12 | 21.1.12 |
| oracle primavera_gateway | 17.12.0 ≤ v ≤ 17.12.11, 18.8.0 ≤ v ≤ 18.8.11, 19.12.0 ≤ v ≤ 19.12.10 | — |
| quarkus quarkus | v ≤ 1.13.7 | — |
| io.netty:netty-codec-http2Maven | 4.0.0 ≤ v < 4.1.61.Final | 4.1.61.Final |
| org.jboss.netty:nettyMaven | Aralık belirtilmemiş | — |
| io.netty:nettyMaven | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.