BDU:2022-00333

Опубликовано: 10 дек. 2019

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Средний

Описание

Уязвимость компонента HttpObjectDecoder.java сетевого программного средства Netty связана с отсутствием проверки наличия двоеточия в HTTP-заголовке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Apache Software Foundation

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

netty

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

до 4.1.44 (netty)

до 2.1 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Для Netty:

использование рекомендаций производителя: https://github.com/netty/netty/issues/9866

Для ОС Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2019-20444

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОСОН Основа:

Обновление программного обеспечения netty до версии 1:4.1.33-1+deb10u2

Для ОС ОН «Стрелец»:

Обновление программного обеспечения netty до версии 1:4.1.7-2+deb9u3

Обновление программного обеспечения netty-3.9 до версии 3.9.9.Final-1+deb9u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-20444
CVE

EPSS

Процентиль: 93%

0.11096

Средний

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2019-20444

CVSS3: 9.1

ubuntu

около 6 лет назад

HttpObjectDecoder.java in Netty before 4.1.44 allows an HTTP header that lacks a colon, which might be interpreted as a separate header with an incorrect syntax, or might be interpreted as an "invalid fold."

CVE-2019-20444

CVSS3: 7.5

redhat

около 6 лет назад

CVE-2019-20444

CVSS3: 9.1

nvd

около 6 лет назад

CVE-2019-20444

CVSS3: 9.1

debian

около 6 лет назад

HttpObjectDecoder.java in Netty before 4.1.44 allows an HTTP header th ...

GHSA-cqqj-4p63-rrmm

CVSS3: 9.1

github

почти 6 лет назад

HTTP Request Smuggling in Netty

EPSS

Процентиль: 93%

0.11096

Средний

9.1 Critical

CVSS3

9.4 Critical

CVSS2