Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-00315

Опубликовано: 25 фев. 2020
Источник: fstec
CVSS3: 5.9
CVSS2: 5
EPSS Низкий

Описание

Уязвимость сетевого программного средства Netty связана с недостатком в интерпретации HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Apache Software Foundation
ФССП России
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
netty
ОС ТД АИС ФССП России
ОСОН ОСнова Оnyx
Cassandra

Версия ПО

9 (Debian GNU/Linux)
8.0 (Debian GNU/Linux)
10 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
до 4.1.61 (netty)
ИК6 (ОС ТД АИС ФССП России)
до 2.1 (ОСОН ОСнова Оnyx)
4.1.3 (Cassandra)

Тип ПО

Операционная система
Сетевое программное средство
СУБД

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ФССП России ОС ТД АИС ФССП России ИК6

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,9)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- применение систем обнаружения и предотвращения вторжений.
Для Netty:
использование рекомендаций производителя: https://github.com/netty/netty/security/advisories/GHSA-f256-j965-7f32
Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-21409
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/
Для ОСОН Основа:
Обновление программного обеспечения netty до версии 1:4.1.33-1+deb10u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 89%
0.04983
Низкий

5.9 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

redos
больше 3 лет назад

Уязвимость сетевого программного средства Netty

CVSS3: 5.9
ubuntu
больше 4 лет назад

Netty is an open-source, asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In Netty (io.netty:netty-codec-http2) before version 4.1.61.Final there is a vulnerability that enables request smuggling. The content-length header is not correctly validated if the request only uses a single Http2HeaderFrame with the endStream set to to true. This could lead to request smuggling if the request is proxied to a remote peer and translated to HTTP/1.1. This is a followup of GHSA-wm47-8v5p-wjpj/CVE-2021-21295 which did miss to fix this one case. This was fixed as part of 4.1.61.Final.

CVSS3: 5.9
redhat
больше 4 лет назад

Netty is an open-source, asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In Netty (io.netty:netty-codec-http2) before version 4.1.61.Final there is a vulnerability that enables request smuggling. The content-length header is not correctly validated if the request only uses a single Http2HeaderFrame with the endStream set to to true. This could lead to request smuggling if the request is proxied to a remote peer and translated to HTTP/1.1. This is a followup of GHSA-wm47-8v5p-wjpj/CVE-2021-21295 which did miss to fix this one case. This was fixed as part of 4.1.61.Final.

CVSS3: 5.9
nvd
больше 4 лет назад

Netty is an open-source, asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In Netty (io.netty:netty-codec-http2) before version 4.1.61.Final there is a vulnerability that enables request smuggling. The content-length header is not correctly validated if the request only uses a single Http2HeaderFrame with the endStream set to to true. This could lead to request smuggling if the request is proxied to a remote peer and translated to HTTP/1.1. This is a followup of GHSA-wm47-8v5p-wjpj/CVE-2021-21295 which did miss to fix this one case. This was fixed as part of 4.1.61.Final.

CVSS3: 5.9
debian
больше 4 лет назад

Netty is an open-source, asynchronous event-driven network application ...

EPSS

Процентиль: 89%
0.04983
Низкий

5.9 Medium

CVSS3

5 Medium

CVSS2