Debian DLA-2364-1：netty 安全更新

critical Nessus 插件 ID 140295

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Java NIO 客户端/服务器套接字框架 netty 中发现多个漏洞。

CVE-2019-20444

在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或“无效折叠”。

CVE-2019-20445

在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许 Content-Length 标头附带第二个 Content-Length 标头或 Transfer-Encoding 标头。

CVE-2020-7238

Netty 4.1.43.Final 允许 HTTP 请求走私，因为其错误处理传输编码空白（例如 [space]Transfer-Encoding: 分块的行）和更高版本的内容长度标头。存在此问题的原因是针对 CVE-2019-16869 的修复不完整。

CVE-2020-11612

4.1.46 之前的 Netty 4.1.x 中的 ZlibDecoder 支持无限制内存分配，同时可对 ZlibEncoded 字节流进行解码。攻击者可向 Netty 服务器发送一个大型 ZlibEncoded 字节流，迫使服务器将其所有可用内存分配给单个解码器。

对于 Debian 9 stretch，已在版本 1:4.1.7-2+deb9u2 中修复这些问题。

建议您升级 netty 程序包。

如需了解 netty 的详细安全状态，请参阅其安全跟踪页面： https://security-tracker.debian.org/tracker/netty

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。