在 Netty (Java NIO 用戶端/伺服器通訊端架構) 中發現數個弱點：

CVE-2014-0193

WebSocket08FrameDecoder 允許遠端攻擊者透過後接長 ContinuationWebSocketFrames 資料流的 TextWebSocketFrame 造成拒絕服務（記憶體消耗）。

CVE-2014-3488

SslHandler 允許遠端攻擊者透過建構的 SSLv2Hello 訊息造成拒絕服務 (無限迴圈和 CPU 消耗)。

CVE-2019-16869

Netty 未正確處理 HTTP 標頭中冒號前的空格 (例如「Transfer-Encoding : chunked」行) ，進而導致 HTTP 要求走私。

CVE-2019-20444

HttpObjectDecoder.java 允許 HTTP 標頭中缺少冒號，這可能被解譯為具有語法錯誤的獨立標頭，或可能被解譯為「無效折疊」。

CVE-2019-20445

HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭或 Transfer-Encoding 標頭。

CVE-2020-7238

Netty 允許 HTTP 要求走私，這是未正確處理 Transfer-Encoding 空格 (例如 [space] Transfer-Encoding: 區塊行) 和更新的 Content-Length 標頭所致。

針對 Debian 8「Jessie」，已在 3.9.0.Final-1+deb8u1 版本中修正這些問題。

建議您升級 netty-3.9 套件。

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 5 主機上安裝的套件受到 RHSA-2014:1019 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

    在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2014-0226)

    在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU。(CVE-2014-0118)

    在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。
    遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置。(CVE-2014-0231)

    在 WebSocket08FrameDecoder 實作中發現的瑕疵，可能會允許遠端攻擊者透過發出一系列 TextWebSocketFrame 與 ContinuationWebSocketFrames 來觸發記憶體不足例外狀況。根據伺服器組態而定，這可能會造成拒絕服務。
    (CVE-2014-0193)

    據發現，SimpleSecurityManager 的 isCallerInRole() 方法並未正確檢查呼叫者角色。經驗證的遠端攻擊者可能利用此瑕疵，在使用以呼叫者角色為基礎之封鎖清單存取控制的應用程式中規避呼叫者檢查。(CVE-2014-3472)

    Red Hat 要感謝 Typesafe 的 James Roper 報告 CVE-2014-0193，以及 CA Technologies 報告 CVE-2014-3472。

    此 JBoss Enterprise Application Platform 版本也包含錯誤修正及增強功能。這些變更的相關文件近期將可從〈參照〉一節中的 JBoss Enterprise Application Platform 6.3.0 版本資訊連結中取得。

    建議所有在 Red Hat Enterprise Linux 5 中需要 JBoss Enterprise Application Platform 6.3.0 的使用者皆安裝這些新套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 Red Hat Enterprise Linux 6 的更新版 Red Hat JBoss Enterprise Application Platform 6.3.0 套件，可修正多個安全性問題、數個錯誤，並新增多個增強功能。

Red Hat 安全性回應團隊已將此更新評等為具有重要安全性影響。可針對每個弱點從〈參照〉一節的 CVE 連結中取得常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。

Red Hat JBoss Enterprise Application Platform 6 是一個以 JBoss Application Server 7 為基礎，並提供給 Java 應用程式使用的平台。

在 mod_status httpd 模組中發現導致堆積型緩衝區溢位的爭用情形瑕疵。能夠在伺服器上使用階層式多處理模組 (MPM) 存取 mod_status 提供服務之狀態頁面的遠端攻擊者，可能傳送特製要求，導致 httpd 子處理程序損毀，或可能讓攻擊者以‘apache’使用者的權限執行任意程式碼。(CVE-2014-0226)

在 httpd 的 mod_deflate 模組處理要求內文解壓縮 (透過 DEFLATE 輸入篩選設定) 的方式中發現拒絕服務瑕疵。能夠傳送其內文會遭到解壓縮之要求的遠端攻擊者可能會利用此瑕疵在目標系統上消耗過量系統記憶體與 CPU。
(CVE-2014-0118)

在 httpd 的 mod_cgid 模組執行並非從標準輸入讀取資料之 CGI 指令碼的方式中發現拒絕服務瑕疵。遠端攻擊者可能會提交特製的要求，導致 httpd 子處理程序無限期懸置。(CVE-2014-0231)

在 WebSocket08FrameDecoder 實作中發現的瑕疵，可能會允許遠端攻擊者透過發出一系列 TextWebSocketFrame 與 ContinuationWebSocketFrames 來觸發記憶體不足例外狀況。根據伺服器組態而定，這可能會造成拒絕服務。(CVE-2014-0193)

據發現，SimpleSecurityManager 的 isCallerInRole() 方法並未正確檢查呼叫者角色。經驗證的遠端攻擊者可能利用此瑕疵，在使用以呼叫者角色為基礎之黑名單存取控制的應用程式中規避呼叫者檢查。(CVE-2014-3472)

Red Hat 要感謝 Typesafe 的 James Roper 報告 CVE-2014-0193，以及 CA Technologies 報告 CVE-2014-3472。

此 JBoss Enterprise Application Platform 版本也包含錯誤修正及增強功能。這些變更的相關文件近期將可從〈參照〉一節中的 JBoss Enterprise Application Platform 6.3.0 版本資訊連結中取得。

建議所有在 Red Hat Enterprise Linux 6 中需要 JBoss Enterprise Application Platform 6.3.0 的使用者皆安裝這些新套件。必須重新啟動 JBoss 伺服器處理程序，此更新才會生效。

ID	名稱	產品	系列	已發布	已更新	嚴重性
133814	Debian DLA-2110-1：netty-3.9 安全性更新	Nessus	Debian Local Security Checks	2020/2/20	2024/3/27	critical
77078	RHEL 5：Red Hat JBoss Enterprise Application Platform 6.3.0 更新 (重要) (RHSA-2014:1019)	Nessus	Red Hat Local Security Checks	2014/8/8	2025/3/20	medium
77079	RHEL 6：JBoss EAP (RHSA-2014:1020)	Nessus	Red Hat Local Security Checks	2014/8/8	2025/3/24	medium

偵測

搜尋 Plugin

critical

medium

medium