Debian DLA-2365-1: netty-3.9 セキュリティ更新

critical Nessus プラグイン ID 140296

Language:

概要

リモートの Debian ホストにセキュリティ更新プログラムがありません。

説明

Java NIOクライアント/サーバーソケットフレームワークであるnetty-3.9に、複数の脆弱性が発見されました。

CVE-2019-16869

4.1.42.Finalより前のNettyでは、HTTPヘッダー内のコロンの前の空白が正しく処理されません（例：Transfer-Encoding : チャンクされた行）。そのため、HTTPリクエストスマグリングにつながります。

CVE-2019-20444

4.1.44より前のNettyのHttpObjectDecoder.javaは、コロンが欠落したHTTPヘッダーを許可します。そのため、不適切な構文を含む別のヘッダーとして解釈されるか、無効な折り返しとして解釈される可能性があります。

CVE-2019-20445

4.1.44より前のNettyのHttpObjectDecoder.javaは、Content-Lengthヘッダーの後ろに2つ目のContent-LengthヘッダーまたはTransfer-Encodingヘッダーが続くことを許可します。

Debian 9「Stretch」では、これらの問題はバージョン3.9.9.Final-1+deb9u1で修正されています。

お使いのnetty-3.9パッケージをアップグレードすることを推奨します。

netty-3.9の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/netty-3.9

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。