BDU:2022-00314

Опубликовано: 09 дек. 2019

Источник: fstec

CVSS3: 9.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость компонента HttpObjectDecoder.java сетевого программного средства Netty связана с недостатком в интерпретации HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Apache Software Foundation

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

netty

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

до 4.1.44 (netty)

до 2.1 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Для Netty:

использование рекомендаций производителя: https://github.com/netty/netty/issues/9861

Для ОС Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2019-20445

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОСОН Основа:

Обновление программного обеспечения netty до версии 1:4.1.33-1+deb10u2

Для ОС ОН «Стрелец»:

Обновление программного обеспечения netty до версии 1:4.1.7-2+deb9u3

Обновление программного обеспечения netty-3.9 до версии 3.9.9.Final-1+deb9u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-20445
CVE

EPSS

Процентиль: 86%

0.02837

Низкий

9.1 Critical

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2019-20445

CVSS3: 9.1

ubuntu

около 6 лет назад

HttpObjectDecoder.java in Netty before 4.1.44 allows a Content-Length header to be accompanied by a second Content-Length header, or by a Transfer-Encoding header.

CVE-2019-20445

CVSS3: 7.5

redhat

около 6 лет назад

HttpObjectDecoder.java in Netty before 4.1.44 allows a Content-Length header to be accompanied by a second Content-Length header, or by a Transfer-Encoding header.

CVE-2019-20445

CVSS3: 9.1

nvd

около 6 лет назад

HttpObjectDecoder.java in Netty before 4.1.44 allows a Content-Length header to be accompanied by a second Content-Length header, or by a Transfer-Encoding header.

CVE-2019-20445

CVSS3: 9.1

debian

около 6 лет назад

HttpObjectDecoder.java in Netty before 4.1.44 allows a Content-Length ...

GHSA-p2v9-g2qv-p635

github

почти 6 лет назад

HTTP Request Smuggling in Netty

EPSS

Процентиль: 86%

0.02837

Низкий

9.1 Critical

CVSS3

6.4 Medium

CVSS2