Debian DSA-5558-1：netty - 安全性更新

high Nessus Plugin ID 185979

語系：

概要

遠端 Debian 主機上缺少一個或多個安全性更新。

說明

遠端 Debian 11/12 主機上安裝的一個套件受到 dsa-5558 公告中提及的多個弱點影響。

- Netty 是一種非同步事件驅動型網路應用程式架構，適用於快速開發可維護的高效能通訊協定伺服器和用戶端。在 TLS 交握期間，「SniHandler」最多可以為每個通道配置 16 MB 的堆積。若處置程式或通道未處於閒置逾時狀態，則可以被用於讓 TCP 伺服器使用「SniHandler」來配置 16 MB 的堆積。「SniHandler」類別是一个處置程式，等待 TLS 交握根據「ClientHello」記錄指示的伺服器名稱設定「SslHandler」。針對這個問題，它會使用「ClientHello」記錄中定義的值來配置「ByteBuf」。封包的值通常應小於交握封包，但此處並未進行檢查，且按照程式碼的寫入方式，可以特製一個產生「SslClientHelloHandler」的封包。此弱點已在 4.1.94.Final 版中修正。
(CVE-2023-34462)

- HTTP/2 通訊協定允許拒絕服務 (伺服器資源消耗)，因為要求取消可快速重設許多資料流，如 2023 年 8 月到 2023 年 10 月間遭到的猖獗惡意攻擊。(CVE-2023-44487)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。