CVE-2021-43797
Açıklama
Netty, bakımı kolay, yüksek performanslı protokol sunucuları ve istemcilerinin hızlı geliştirilmesi için tasarlanmış asenkron olay güdümlü bir ağ uygulama çerçevesidir. 4.1.71.Final sürümü öncesindeki Netty, başlık adının başında veya sonunda bulunduklarında kontrol karakterlerini atlamaktadır. Bunlar spesifikasyon tarafından izin verilmediği ve HTTP request smuggling riskine yol açabileceği için bunun yerine işlemin hızla başarısız olması gerekir. Doğrulamanın yapılmaması, proxy olarak kullanıldığında Netty'nin bu başlık adlarını başka bir uzak sisteme iletmeden önce "temizlemesine" neden olabilir. Bu uzak sistem artık geçersiz kullanımı göremez ve dolayısıyla doğrulamayı kendisi yapmaz. Kullanıcıların 4.1.71.Final sürümüne yükseltme yapmaları önerilir.
Nasıl düzeltilir
- netty netty4.1.71 ya da sonraki bir sürüm
- quarkus quarkus2.5.3 ya da sonraki bir sürüm
- io.netty:netty-codec-http4.1.71.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.71 | 4.1.71 |
| quarkus quarkus | v < 2.5.3 | 2.5.3 |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| oracle banking_deposits_and_lines_of_credit_servicing | 2.7 | — |
| oracle banking_party_management | 2.7.0 | — |
| oracle banking_platform | 2.6.2 | — |
| oracle coherence | 12.2.1.4.0, 14.1.1.0.0 | — |
| oracle communications_cloud_native_core_binding_support_function | 1.11.0 | — |
| oracle communications_cloud_native_core_network_slice_selection_function | 1.8.0 | — |
| oracle communications_cloud_native_core_policy | 1.15.0 | — |
| oracle communications_cloud_native_core_security_edge_protection_proxy | 1.7.0 | — |
| oracle communications_cloud_native_core_unified_data_repository | 1.15.0 | — |
| oracle communications_design_studio | 7.4.2 | — |
| oracle communications_instant_messaging_server | 8.1 | — |
| oracle helidon | 1.4.10, 2.4.0 | — |
| oracle peoplesoft_enterprise_peopletools | 8.58, 8.59 | — |
| debian debian_linux | 10.0, 11.0 | — |
| io.netty:netty-codec-httpMaven | 4.0.0 ≤ v < 4.1.71.Final | 4.1.71.Final |
| org.jboss.netty:nettyMaven | Aralık belirtilmemiş | — |
| io.netty:nettyMaven | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.