PT-2022-20889 · Unknown · Reactor Netty Http Server

Publicado 2022-10-19 · Atualizado 2022-10-21 · CVE-2022-31684

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Reactor Netty HTTP Server, versões 1.0.11 a 1.0.23

Descrição

O problema afeta o registro dos cabeçalhos de solicitação em casos de solicitações HTTP inválidas. Quando o registro no nível WARN está habilitado, os cabeçalhos registrados podem revelar tokens de acesso válidos para quem tem acesso aos logs do servidor. Isso pode afetar apenas solicitações HTTP inválidas.

Recomendações

Para as versões 1.0.11 a 1.0.23 do Reactor Netty HTTP Server, considere desativar o registro de cabeçalhos de solicitação no nível WARN para solicitações HTTP inválidas até que uma correção esteja disponível. Restrinja o acesso aos logs do servidor para minimizar o risco de exploração.

Correção

Information Disclosure

Insertion into Log File

Enumeração de Fraquezas

CWE-200

CWE-532

Identificadores relacionados

CVE-2022-31684

GHSA-7W4X-4H67-PGMV

Produtos afetados

Reactor Netty Http Server

Referências · 6

• https://tanzu.vmware.com/security/cve-2022-31684 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-31684 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7w4x-4h67-pgmv · Aviso do Fabricante
• https://t.me/cibsecurity/51848 · Publicação no Telegram
• https://search.maven.org/artifact/io.projectreactor.netty/reactor-netty-http · Nota
• https://osv.dev/vulnerability/CVE-2022-31684 · Aviso do Fabricante