在 Java NIO 用戶端/伺服器通訊端架構 Netty 中發現數個弱點。

CVE-2019-20444

在 Netty 4.1.44 之前版本中，HttpObjectDecoder.java 允許 HTTP 標頭中缺少冒號，這可能被解譯為具有語法錯誤的獨立標頭，或可能被解譯為無效折疊。

CVE-2019-20445

在 Netty 4.1.44 之前版本中，HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭或 Transfer-Encoding 標頭。

CVE-2020-7238

Netty 4.1.43.Final 允許 HTTP 要求走私，這是因為它會不當處理 Transfer-Encoding 空格 (例如 [space] Transfer-Encoding: 區塊行) 和更新的 Content-Length 標頭所致。此問題之所以存在，是因為 CVE-2019-16869 的修正不完整。

CVE-2020-11612

在 Netty 4.1.x 版的 4.1.46 之前版本中，ZlibDecoders 允許在解碼 ZlibEncoded 位元組資料流時進行無限制記憶體配置。攻擊者可將大型 ZlibEncoded 位元組資料流傳送至 Netty 伺服器，強制伺服器將所有可用記憶體配置至單一解碼器。

針對 Debian 9「Stretch」，已在 1:4.1.7-2+deb9u2 版本中修正這些問題。

建議您升級 netty 套件。

如需有關 netty 安全性狀態的詳細資訊，請參閱其安全追蹤頁面： https://security-tracker.debian.org/tracker/netty

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

偵測

Debian DLA-2364-1：netty 安全性更新

critical Nessus Plugin ID 140295

版本 1.4