Debian dsa-6160 : libnetty-java - セキュリティ更新

high Nessus プラグイン ID 301895

Language:

概要

リモートの Debian ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートの Debian 12/13 ホストには、dsa-6160 アドバイザリで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

- -------------------------------------------------- -------------------------- Debian セキュリティアドバイザリ DSA-6160-1 [email protected] https://www.debian.org/security/Markus Koschany 2026 年 3 月 11 日 https://www.debian.org/security/faq
- -------------------------------------------------------------------------

パッケージ netty CVE ID CVE-2025-55163 CVE-2025-58056 CVE-2025-58057 CVE-2025-59419 CVE-2025-67735 CVE-2024-29025 Debian バグ 1068110 1111105 1113995 1113994 1118282 1123606

Java NIO クライアント/サーバーソケットフレームワークである Netty にいくつかのセキュリティ上の脆弱性が発見されました。Netty が、HTTP/2 プロトコル自体の論理的脆弱性およびプログラミングエラーによりリクエストスマグリング攻撃を可能にさせる MakeYourReset DDoS 攻撃に脆弱であることが判明しました。
さらに、入力検証が不十分なため、Netty に SMTP コマンド注入脆弱性があり、リモートの攻撃者が、信頼できるサーバーから任意の電子メールを偽造できる可能性があります。

Bookbird のセキュリティ更新には、 CVE-2024-29025の修正も含まれています。
Julien Viet 氏は、Netty が、HttpPostRequestDecoder でのデータ蓄積による、制限やスロットリングのないリソース割り当てに対して脆弱であることを発見しました。これにより、攻撃者がサービス拒否を引き起こす可能性があります。

旧安定版oldstableディストリビューションbookword では、これらの問題はバージョン 1:4.1.48-7+deb12u2 で修正されました。

安定版stableディストリビューションtrixieでは、これらの問題はバージョン 1:4.1.48-10+deb13u1 で修正されました。

お使いの netty パッケージをアップグレードすることを推奨します。

netty の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/netty

Debian セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://www.debian.org/security/

メーリングリスト: [email protected]

前述の説明ブロックは、Tenable が Debian セキュリティアドバイザリから直接抽出したものです。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。