Debian DLA-2365-1：netty-3.9 安全更新

critical Nessus 插件 ID 140296

语言：

简介

远程 Debian 主机缺少安全更新。

描述

在 Java NIO 客户端/服务器套接字框架 netty-3.9 中发现多个漏洞。

CVE-2019-16869

版本低于 4.1.42 最终版的 Netty 未正确处理 HTTP 标头中冒号前的空格（例如“Transfer-Encoding : chunked”行），这会造成 HTTP 请求走私。

CVE-2019-20444

在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或“无效折叠”。

CVE-2019-20445

在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许 Content-Length 标头附带第二个 Content-Length 标头或 Transfer-Encoding 标头。

对于 Debian 9 stretch，已在版本 3.9.9.Final-1+deb9u1 中修复这些问题。

我们建议您升级 netty-3.9 程序包。

如需了解 netty-3.9 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/netty-3.9

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。