PT-2021-7975 · Netty+5 · Netty+5
Publicado
2021-12-09
·
Atualizado
2024-06-15
·
CVE-2021-43797
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:C/A:N |
Nome do software vulnerável e versões afetadas
Versões do Netty anteriores à 4.1.71.Final
Descrição
O problema está relacionado ao tratamento incorreto de caracteres de controle nos nomes dos cabeçalhos, o que pode levar ao contrabando de solicitações HTTP. De acordo com a especificação, caracteres de controle no início ou no final do nome do cabeçalho não são permitidos. O software deveria falhar rapidamente ao encontrar tais caracteres, mas, em vez disso, ele os ignora. Isso pode fazer com que o software “sanitize” nomes de cabeçalhos antes de encaminhá-los para outro sistema remoto quando usado como proxy, permitindo potencialmente que um invasor comprometa a integridade das informações protegidas.
Recomendações
Para versões do Netty anteriores à 4.1.71.Final, os usuários devem atualizar para a versão 4.1.71.Final para resolver o problema. Como solução temporária, considere desativar o uso de caracteres de controle nos nomes de cabeçalhos até que um patch esteja disponível. Restrinja o acesso à funcionalidade de proxy para minimizar o risco de exploração. Evite usar a versão afetada do Netty como proxy até que o problema seja resolvido.
Correção
HTTP Request/Response Smuggling
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Astra Linux
Linuxmint
Netty
Rocky Linux
Suse
Ubuntu