CVE-2019-20445

Netty: HTTP Request Smuggling przez duplikat nagłówka Content-Length

CVSS 9.1v3.1pub. 2020-01-29upd. 2024-11-21

Biblioteka Netty w wersjach przed 4.1.44 jest podatna na atak HTTP Request Smuggling wynikający z błędnego przetwarzania nagłówków HTTP. Atakujący może wykorzystać tę lukę do przemycenia złośliwych żądań HTTP, co prowadzi do poważnych naruszeń bezpieczeństwa po stronie serwera i klientów.

▸ Pokaż oryginał (EN)

HttpObjectDecoder.java in Netty before 4.1.44 allows a Content-Length header to be accompanied by a second Content-Length header, or by a Transfer-Encoding header.

🤖 Analiza AI

Jak działa

Plik HttpObjectDecoder.java niepoprawnie akceptuje sytuację, w której nagłówek Content-Length występuje jednocześnie z drugim nagłówkiem Content-Length lub z nagłówkiem Transfer-Encoding. Jest to klasyczna klasa błędów HTTP Request Smuggling (CWE-444), polegająca na niespójnej interpretacji granic żądania HTTP przez różne komponenty infrastruktury (np. load balancer i serwer backendowy). Atakujący może skonstruować specjalnie spreparowane żądanie HTTP, które zostanie odmiennie zinterpretowane przez poszczególne warstwy pośredniczące, umożliwiając wstrzyknięcie dodatkowych, ukrytych żądań.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do chronionych zasobów lub zmodyfikować odpowiedzi serwera kierowane do innych użytkowników, co oznacza poważne naruszenie poufności i integralności danych.

Mitygacja

Należy zaktualizować bibliotekę Netty do wersji 4.1.44 lub nowszej. Użytkownicy dystrybucji Red Hat powinni zastosować poprawki opisane w erratach RHSA-2020:0497, RHSA-2020:0567, RHSA-2020:0601, RHSA-2020:0605 oraz RHSA-2020:0606. Użytkownicy Debian Linux i Fedora powinni zaktualizować pakiety zgodnie z referencjami producenta.