Debian DLA-2110-1：netty-3.9 安全更新

critical Nessus 插件 ID 133814

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Java NIO 客户端/服务器套接字框架 Netty 中发现多个漏洞：

CVE-2014-0193

WebSocket08FrameDecoder 允许远程攻击者通过后跟长 ContinuationWebSocketFrames 流的 TextWebSocketFrame 造成拒绝服务（内存消耗）。

CVE-2014-3488

SslHandler 允许远程攻击者通过构建的 SSLv2Hello 消息造成拒绝服务（无限循环和 CPU 消耗）。

CVE-2019-16869

Netty 未正确处理 HTTP 标头中冒号前的空格（例如“Transfer-Encoding : chunked”行），这会造成 HTTP 请求走私。

CVE-2019-20444

HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或“无效折叠”。

CVE-2019-20445

HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头或传输编码标头。

CVE-2020-7238

Netty 允许 HTTP 请求走私，因为其错误处理传输编码空白（例如 [space]Transfer-Encoding：分块的行）和更高版本的内容长度标头。

对于 Debian 8“Jessie”，已在版本 3.9.0.Final-1+deb8u1 中修复这些问题。

我们建议您升级 netty-3.9 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。