遠端 Ubuntu 18.04 LTS 主機上安裝的一個套件受到 USN-4600-2 公告中所提及的多個弱點影響。

  - 在 Netty 4.1.44 之前版本中，HttpObjectDecoder.java 允許 HTTP 標頭中缺少冒號，這可能被解譯為具有語法錯誤的獨立標頭，或可能被解譯為無效折疊。
    (CVE-2019-20444)

  - 在 Netty 4.1.44 之前版本中，HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭或 Transfer-Encoding 標頭。(CVE-2019-20445)

  - 在 Netty 4.1.x 版的 4.1.46 之前版本中，ZlibDecoders 允許在解碼 ZlibEncoded 位元組資料流時進行無限制記憶體配置。攻擊者可將大型 ZlibEncoded 位元組資料流傳送至 Netty 伺服器，強制伺服器將所有可用記憶體配置至單一解碼器。(CVE-2020-11612)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼。

偵測

Ubuntu 18.04 LTS：Netty 弱點 (USN-4600-2)

critical Nessus Plugin ID 141934

版本 1.5