Podatności Netty

Podatność w Netty przed wersjami 4.1.132.Final i 4.2.10.Final powoduje nieprawidłowe parsowanie cytowanych ciągów w wartościach rozszerzeń kodowania transferu fragmentarycznego HTTP/1.1, co umożliwia ataki typu request smuggling.

Netty to asynchroniczny, sterowany zdarzeniami framework do aplikacji sieciowych. W wersjach przed 4.1.129.Final i 4.2.8.Final klasa io.netty.handler.codec.http.HttpRequestEncoder ma wstrzyknięcie CRLF w URI żądania podczas konstruowania żądania, co prowadzi do przemytu żądań (request smuggling), gdy HttpRequestEncoder jest używany bez odpowiedniej sanityzacji URI. Wersje 4.1.129.Final i 4.2.8.Final naprawiają ten problem.

Netty w wersjach przed 4.1.128.Final i 4.2.7.Final zawiera podatność SMTP command injection w kodeku SMTP z powodu niewystarczającej walidacji znaków CR i LF w parametrach dostarczanych przez użytkownika. Parametry są bezpośrednio łączone z ciągiem polecenia SMTP bez sanityzacji, co pozwala atakującemu wstrzyknąć dowolne polecenia SMTP. Ponieważ wstrzyknięte polecenia są wysyłane z zaufanego adresu IP serwera, wynikowe e-maile prawdopodobnie przejdą kontrole SPF i DKIM, co pozwala na fałszowanie wiadomości. Problem naprawiono w wersjach 4.1.129.Final i 4.2.8.Final.

Podatność w bibliotece Netty dotyczy dekoderów dekompresji, w tym BrotliDecoder, które przy specjalnie spreparowanym wejściu alokują dużą liczbę buforów bajtów, co może prowadzić do wyczerpania pamięci i odmowy usługi. Dekompresja nie ma limitu wywołań pull, przetwarzając dane po 64 KB, a bufory pozostają osiągalne aż do wystąpienia OOM.

Netty w wersjach 4.1.124.Final i 4.2.0.Alpha3 do 4.2.4.Final niepoprawnie akceptuje samotne znaki nowej linii (LF) jako terminator linii rozmiaru fragmentu, zamiast wymagać CRLF zgodnie ze standardem HTTP/1.1. W połączeniu z odwrotnymi proxy, które inaczej parsują LF, atakujący mogą spreparować żądania, które proxy widzi jako jedno, a Netty przetwarza jako dwa, umożliwiając ataki typu request smuggling.

Podatność w `SniHandler` w frameworku Netty pozwala na alokację do 16MB pamięci heap dla każdego kanału podczas handshake TLS. Brak odpowiednich kontroli pozwala na stworzenie pakietu, który może wykorzystać tę alokację, co prowadzi do potencjalnego wyczerpania zasobów.

Netty przed wersją 4.1.71.Final pomija znaki kontrolne na początku lub końcu nazwy nagłówka, zamiast zgłosić błąd. Może to prowadzić do przemytu żądań HTTP (HTTP request smuggling), ponieważ Netty może "oczyścić" nazwy nagłówków przed przekazaniem ich do systemu zdalnego, który nie widzi już nieprawidłowego użycia.

Netty to otwartoźródłowy, asynchroniczny framework sieciowy oparty na zdarzeniach. W wersjach przed 4.1.59.Final występuje podatność w systemach uniksowych związana z niebezpiecznym plikiem tymczasowym. Gdy używane są dekodery multipart Netty, może dojść do ujawnienia lokalnych informacji poprzez lokalny katalog tymczasowy, jeśli włączone jest tymczasowe przechowywanie przesłanych plików na dysku.