Debian DLA-2110-1：netty-3.9 安全性更新

critical Nessus Plugin ID 133814

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 Netty (Java NIO 用戶端/伺服器通訊端架構) 中發現數個弱點：

CVE-2014-0193

WebSocket08FrameDecoder 允許遠端攻擊者透過後接長 ContinuationWebSocketFrames 資料流的 TextWebSocketFrame 造成拒絕服務（記憶體消耗）。

CVE-2014-3488

SslHandler 允許遠端攻擊者透過建構的 SSLv2Hello 訊息造成拒絕服務 (無限迴圈和 CPU 消耗)。

CVE-2019-16869

Netty 未正確處理 HTTP 標頭中冒號前的空格 (例如「Transfer-Encoding : chunked」行) ，進而導致 HTTP 要求走私。

CVE-2019-20444

HttpObjectDecoder.java 允許 HTTP 標頭中缺少冒號，這可能被解譯為具有語法錯誤的獨立標頭，或可能被解譯為「無效折疊」。

CVE-2019-20445

HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭或 Transfer-Encoding 標頭。

CVE-2020-7238

Netty 允許 HTTP 要求走私，這是未正確處理 Transfer-Encoding 空格 (例如 [space] Transfer-Encoding: 區塊行) 和更新的 Content-Length 標頭所致。

針對 Debian 8「Jessie」，已在 3.9.0.Final-1+deb8u1 版本中修正這些問題。

建議您升級 netty-3.9 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。