CVE-2019-20444

Netty: nieprawidłowe parsowanie nagłówków HTTP bez dwukropka (HTTP Request Smuggling)

CVSS 9.1v3.1pub. 2020-01-29upd. 2025-07-01

Biblioteka Netty przed wersją 4.1.44 nieprawidłowo przetwarza nagłówki HTTP pozbawione znaku dwukropka, co może prowadzić do ataku typu HTTP Request Smuggling. Podatność jest krytyczna, ponieważ umożliwia obejście mechanizmów bezpieczeństwa oraz manipulację ruchem HTTP bez uwierzytelnienia.

▸ Pokaż oryginał (EN)

HttpObjectDecoder.java in Netty before 4.1.44 allows an HTTP header that lacks a colon, which might be interpreted as a separate header with an incorrect syntax, or might be interpreted as an "invalid fold."

🤖 Analiza AI

Jak działa

Klasa HttpObjectDecoder.java w bibliotece Netty akceptuje nagłówki HTTP, które nie zawierają wymaganego znaku dwukropka oddzielającego nazwę nagłówka od jego wartości. Taki nagłówek może zostać zinterpretowany przez różne komponenty infrastruktury (np. serwery proxy, load balancery) jako oddzielny nagłówek z nieprawidłową składnią lub jako tzw. 'invalid fold'. Rozbieżna interpretacja między frontendem a backendem pozwala atakującemu na przemycenie dodatkowych żądań HTTP w ramach jednego połączenia (CWE-444: HTTP Request Smuggling).

Skutki

Atakujący może manipulować żądaniami HTTP przetwarzanymi przez aplikacje korzystające z Netty, potencjalnie uzyskując dostęp do chronionych zasobów lub przejmując kontrolę nad sesjami innych użytkowników. Możliwe jest naruszenie poufności i integralności przesyłanych danych.

Mitygacja

Należy zaktualizować bibliotekę Netty do wersji 4.1.44 lub nowszej. Użytkownicy dystrybucji Red Hat powinni zastosować dostępne aktualizacje zgodnie z erratami RHSA-2020:0497, RHSA-2020:0567, RHSA-2020:0601, RHSA-2020:0605 oraz RHSA-2020:0606. Użytkownicy Debian Linux i Fedora powinni zastosować patche dostępne u producenta zgodnie z referencjami.