Debian DLA-2365-1：netty-3.9 安全性更新

critical Nessus Plugin ID 140296

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

在 Java NIO 用戶端/伺服器通訊端架構 netty-3.9 中發現數個弱點。

CVE-2019-16869

Netty 4.1.42.Final 之前版本未正確處理 HTTP 標頭中冒號前的空格 (例如 Transfer-Encoding : chunked 行) ，進而導致 HTTP 要求走私。

CVE-2019-20444

在 Netty 4.1.44 之前版本中，HttpObjectDecoder.java 允許 HTTP 標頭中缺少冒號，這可能被解譯為具有語法錯誤的獨立標頭，或可能被解譯為無效折疊。

CVE-2019-20445

在 Netty 4.1.44 之前版本中，HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭或 Transfer-Encoding 標頭。

針對 Debian 9「Stretch」，已在 3.9.9.Final-1+deb9u1 版本中修正這些問題。

建議您升級 netty-3.9 套件。

如需有關 netty-3.9 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/netty-3.9

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。