CVE-2022-24823
Açıklama
Netty, açık kaynaklı, asenkron olay güdümlü bir ağ uygulama çerçevesidir. 4.1.77.Final sürümünden önceki `io.netty:netty-codec-http` paketi, CVE-2021-21290 için yetersiz bir düzeltme içermektedir. Netty'nin multipart dekoderleri kullanıldığında, yüklemelerin diskte geçici olarak depolanması etkinse, yerel sistem geçici dizini üzerinden yerel bilgi ifşası meydana gelebilir. Bu durum yalnızca Java sürümü 6 ve altındaki sürümlerde çalışan uygulamaları etkilemektedir. Ek olarak bu güvenlik açığı; tüm kullanıcılar arasında sistem geçici dizinini paylaştıkları için Unix benzeri sistemlerde, çok eski Mac OSX ve Windows sürümlerinde çalışan kodları etkilemektedir. 4.1.77.Final sürümü, bu güvenlik açığı için bir yama içermektedir. Geçici bir çözüm olarak, JVM başlatılırken kendi `java.io.tmpdir` değeriniz belirtilebilir veya dizini yalnızca mevcut kullanıcı tarafından okunabilir bir konuma ayarlamak için DefaultHttpDataFactory.setBaseDir(...) kullanılabilir.
Nasıl düzeltilir
- netty netty4.1.77 ya da sonraki bir sürüm
- io.netty:netty-codec-http4.1.77.Final ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| netty netty | v < 4.1.77 | 4.1.77 |
| oracle financial_services_crime_and_compliance_management_studio | 8.0.8.2.0, 8.0.8.3.0 | — |
| netapp active_iq_unified_manager | Aralık belirtilmemiş | — |
| netapp oncommand_workflow_automation | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| io.netty:netty-codec-httpMaven | v < 4.1.77.Final | 4.1.77.Final |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.