nettyでは、HTTPヘッダー内のコロンの前の空白が正しく処理されません（例:「Transfer-Encoding : chunked」の行）。そのため、HTTPリクエストスマグリングにつながります。

Debian 8「Jessie」では、この問題はバージョン1:3.2.6.Final-2+deb8u1で修正されました。

nettyパッケージをアップグレードすることをお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートのUbuntu 18.04 LTSホストには、USN-4532-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.1.42.Finalより前のNettyでは、HTTPヘッダー内のコロンの前の空白が正しく処理されません（例：Transfer-Encoding :  チャンクされた行）。そのため、HTTPリクエストスマグリングにつながります。 （CVE-2019-16869）

  - 4.1.44より前のNettyのHttpObjectDecoder.javaは、コロンが欠落したHTTPヘッダーを許可します。そのため、不適切な構文を含む別のヘッダーとして解釈されるか、無効な折り返しとして解釈される可能性があります。
    (CVE-2019-20444)

  - 4.1.44より前のNettyのHttpObjectDecoder.javaは、Content-Lengthヘッダーの後ろに2つ目のContent-LengthヘッダーまたはTransfer-Encodingヘッダーが続くことを許可します。（CVE-2019-20445）

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Redhat Enterprise Linux 7 ホストにインストールされているパッケージは、RHSA-2020: 0160アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - jackson-databind: com.zaxxer.hikari.HikariConfigでのシリアル化ガジェット（CVE-2019-14540）

  - JBoss EAP: Vaultシステムプロパティのセキュリティ属性値が、CLIの「reload」コマンドで表示される（CVE-2019-14885）

  - undertow：HTTPSでリッスンしているUndertow HTTPサーバーでのサービス拒否（DoS）の可能性（CVE-2019-14888）

  - jackson-databind: commons-configurationパッケージのクラスでのシリアル化ガジェット（CVE-2019-14892）

  - jackson-databind: xalanパッケージのクラスでのシリアル化ガジェット（CVE-2019-14893）

  - jackson-databind: com.zaxxer.hikari.HikariDataSourceでのシリアル化ガジェット（CVE-2019-16335）

  -netty：HTTPヘッダーでコロンの前の空白を適切に処理しないことによるHTTPリクエストスマグリング（CVE-2019-16869）

  - jackson-databind: org.apache.commons.dbcp.datasources.*でのシリアル化ガジェット（CVE-2019-16942）

  - jackson-databind: com.p6spy.engine.spy.P6DataSourceでのシリアル化ガジェット（CVE-2019-16943）

  - jackson-databind: ehcacheパッケージのクラスでのシリアル化ガジェット（CVE-2019-17267）

  - jackson-databind: org.apache.log4j.receivers.db.*でのシリアル化ガジェット（CVE-2019-17531）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートのUbuntu 16.04LTSホストには、USN-4600-1のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - 4.1.42.Finalより前のNettyでは、HTTPヘッダー内のコロンの前の空白が正しく処理されません (例：Transfer-Encoding : チャンクされた行) 。そのため、HTTPリクエストスマグリングにつながります。 (CVE-2019-16869)

  - 4.1.44より前のNettyのHttpObjectDecoder.javaは、コロンが欠落したHTTPヘッダーを許可します。そのため、不適切な構文を含む別のヘッダーとして解釈されるか、無効な折り返しとして解釈される可能性があります。
    (CVE-2019-20444)

  - 4.1.44より前のNettyのHttpObjectDecoder.javaは、Content-Lengthヘッダーの後ろに2つ目のContent-LengthヘッダーまたはTransfer-Encodingヘッダーが続くことを許可します。 (CVE-2019-20445)

  - Netty 4.1.43.Finalでは、Transfer-Encodingの空白 ([space]Transfer-Encoding チャンクされた行) および以降のContent-Lengthヘッダーを誤って処理するため、HTTPリクエストスマグリングが可能です。この問題はCVE-2019-16869の修正が不完全なために存在します。 (CVE-2020-7238)

Nessusはこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2024:5856 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat JBoss Enterprise Application Platform 7 は、WildFly アプリケーションランタイムをベースにした Java アプリケーション用のプラットフォームです。Red Hat JBoss Enterprise Application Platform 7.1.7のこのリリースは、Red Hat JBoss Enterprise Application Platform 7.1.6に置き換わるものとして機能し、バグ修正プログラムと拡張機能が含まれています。このリリースに含まれる最も重要なバグ修正プログラムと拡張機能については、『Red Hat JBoss Enterprise Application Platform 7.1.7 リリースノート』を参照してください。

    セキュリティ修正プログラム:

    * undertow: EAP: フィールド名が RFC7230 に沿って解析されない [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils: apache-commons-beanutils: デフォルトで PropertyUtilsBean 内のクラスプロパティを抑制しない [eap-7.1.z] (CVE-2019-10086)

    * log4j: アプリケーションが JMSSink を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind: デフォルトの入力ミス処理により、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-14379)

    * undertow: HTTP/2: HEADERS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9514)

    * undertow: AJP ファイル読み取り/インクルージョンの脆弱性 [eap-7.1.z] (CVE-2020-1745)

    * undertow: HTTP/2: 大量のデータリクエストにより、サービス拒否が引き起こされる [eap-7.1.z] (CVE-2019-9511)

    * undertow: servletPath が不適切に正規化され、危険なアプリケーションマッピングが行われることによる、セキュリティバイパスの可能性 [eap-7.1.z] (CVE-2020-1757)

    * undertow: HTTPS でリッスンしている Undertow HTTP サーバーでのサービス拒否 (DoS) の可能性 [eap-7.1.z] (CVE-2019-14888)

    * log4j: チェーンソーログビューアーの安全でない逆シリアル化の欠陥 [eap-7.1.z] (CVE-2022-23307)

    * netty: HttpObjectDecoder.java が、Content-Length ヘッダーに 2 つ目の Content-Length ヘッダーを付加できる [eap-7.1.z]（CVE-2019-20445）

    * log4j: アプリケーションが JMSAppender を使用するように設定されているときの Log4j 1.x でのリモートコードの実行 [eap-7.1.z] (CVE-2021-4104)

    * undertow: HTTP/2: SETTINGS フレームを使用したフラッドによる無制限のメモリ増加 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core: infinispan: ReflectionUtil クラスの invokeAccessibly メソッドを使用して、プライベートメソッドを呼び出すことが可能 [eap-7.1.z] (CVE-2019-10174)

    * log4j: アプリケーションが JDBCAppender を使用するように設定されているときの Log4j 1.xでの SQL インジェクション [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind: logback-core クラスを多態的な逆シリアル化からブロックできないことによる、リモートでコードが実行される可能性 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager: セキュリティマネージャーの認証バイパス (CVE-2019-14843)

    * HTTP/2: PING フレームを使用したフラッドにより、メモリが無制限に増加する (CVE-2019-9512)

    * netty: HTTP ヘッダーでコロンの前の空白を適切に処理しないことによる HTTP リクエストスマグリング (CVE-2019-16869)

    * jackson-databind: org.apache.log4j.receivers.db.* でのシリアル化ガジェット (CVE-2019-17531)

    * netty: HTTP リクエストスマグリング (CVE-2019-20444)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Java NIOクライアント/サーバーソケットフレームワークNettyに、複数の脆弱性が発見されました:

CVE-2014-0193

WebSocket08FrameDecoderにより、リモート攻撃者が、TextWebSocketFrameとそれに続くContinuationWebSocketFramesの長いストリームを介して、サービス拒否（メモリ消費）を引き起こす可能性があります。

CVE-2014-3488

SslHandlerにより、リモート攻撃者が、細工されたSSLv2Helloメッセージを通じてサービス拒否（無限ループとCPU消費）を引き起こす可能性があります。

CVE-2019-16869

Nettyにおいて、HTTPヘッダー内のコロンの前の空白が正しく処理されていないため（例:「Transfer-Encoding : チャンク行）、HTTPリクエストのスマグリングの可能性があります。

CVE-2019-20444

HttpObjectDecoder.javaにおいて、コロンが欠落したHTTPヘッダーが許容されるため、不適切な構文を含む別のヘッダーとして解釈されるか、無効な折り返しとして解釈される可能性があります。

CVE-2019-20445

HttpObjectDecoder.javaにおいて、Content-Lengthヘッダーの後ろに2つ目のContent-LengthヘッダーまたはTransfer-Encodingヘッダーが続く可能性があります。

CVE-2020-7238

Nettyにおいて、Transfer-Encodingの空白（[space]Transfer-Encoding: チャンク行）および以降のContent-Lengthヘッダーが誤って処理されるため、HTTPリクエストスマグリングの可能性があります。

Debian 8「Jessie」では、これらの問題はバージョン3.9.0.Final-1+deb8u1で修正されました。

使用しているnetty-3.9のパッケージをアップグレードするようお勧めします。

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Java NIOクライアント/サーバーソケットフレームワークであるnetty-3.9に、複数の脆弱性が発見されました。

CVE-2019-16869

4.1.42.Finalより前のNettyでは、HTTPヘッダー内のコロンの前の空白が正しく処理されません（例：Transfer-Encoding : チャンクされた行）。そのため、HTTPリクエストスマグリングにつながります。 

CVE-2019-20444

4.1.44より前のNettyのHttpObjectDecoder.javaは、コロンが欠落したHTTPヘッダーを許可します。そのため、不適切な構文を含む別のヘッダーとして解釈されるか、無効な折り返しとして解釈される可能性があります。

CVE-2019-20445

4.1.44より前のNettyのHttpObjectDecoder.javaは、Content-Lengthヘッダーの後ろに2つ目のContent-LengthヘッダーまたはTransfer-Encodingヘッダーが続くことを許可します。

Debian 9「Stretch」では、これらの問題はバージョン3.9.9.Final-1+deb9u1で修正されています。

お使いのnetty-3.9パッケージをアップグレードすることを推奨します。

netty-3.9の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/netty-3.9

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2020: 0161アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - jackson-databind: com.zaxxer.hikari.HikariConfigでのシリアル化ガジェット（CVE-2019-14540）

  - JBoss EAP: Vaultシステムプロパティのセキュリティ属性値が、CLIの「reload」コマンドで表示される（CVE-2019-14885）

  - undertow：HTTPSでリッスンしているUndertow HTTPサーバーでのサービス拒否（DoS）の可能性（CVE-2019-14888）

  - jackson-databind: commons-configurationパッケージのクラスでのシリアル化ガジェット（CVE-2019-14892）

  - jackson-databind: xalanパッケージのクラスでのシリアル化ガジェット（CVE-2019-14893）

  - jackson-databind: com.zaxxer.hikari.HikariDataSourceでのシリアル化ガジェット（CVE-2019-16335）

  -netty：HTTPヘッダーでコロンの前の空白を適切に処理しないことによるHTTPリクエストスマグリング（CVE-2019-16869）

  - jackson-databind: org.apache.commons.dbcp.datasources.*でのシリアル化ガジェット（CVE-2019-16942）

  - jackson-databind: com.p6spy.engine.spy.P6DataSourceでのシリアル化ガジェット（CVE-2019-16943）

  - jackson-databind: ehcacheパッケージのクラスでのシリアル化ガジェット（CVE-2019-17267）

  - jackson-databind: org.apache.log4j.receivers.db.*でのシリアル化ガジェット（CVE-2019-17531）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Java NIOクライアント/サーバーフレームワークNettyにおいて、HTTPヘッダーの中のコロンの前の空白が不適切に処理されるため、HTTPリクエストスマグリングの脆弱性があることが報告されました。

リモートの Redhat Enterprise Linux 6ホストにインストールされているパッケージは、RHSA-2020: 0159アドバイザリに記載されている複数の脆弱性の影響を受けます。

  - hibernate-validator: safeHTMLバリデーターはXSSを阻止しない（CVE-2019-10219）

  - jackson-databind: com.zaxxer.hikari.HikariConfigでのシリアル化ガジェット（CVE-2019-14540）

  - JBoss EAP: Vaultシステムプロパティのセキュリティ属性値が、CLIの「reload」コマンドで表示される（CVE-2019-14885）

  - undertow：HTTPSでリッスンしているUndertow HTTPサーバーでのサービス拒否（DoS）の可能性（CVE-2019-14888）

  - jackson-databind: commons-configurationパッケージのクラスでのシリアル化ガジェット（CVE-2019-14892）

  - jackson-databind: xalanパッケージのクラスでのシリアル化ガジェット（CVE-2019-14893）

  - jackson-databind: com.zaxxer.hikari.HikariDataSourceでのシリアル化ガジェット（CVE-2019-16335）

  -netty：HTTPヘッダーでコロンの前の空白を適切に処理しないことによるHTTPリクエストスマグリング（CVE-2019-16869）

  - jackson-databind: org.apache.commons.dbcp.datasources.*でのシリアル化ガジェット（CVE-2019-16942）

  - jackson-databind: com.p6spy.engine.spy.P6DataSourceでのシリアル化ガジェット（CVE-2019-16943）

  - jackson-databind: ehcacheパッケージのクラスでのシリアル化ガジェット（CVE-2019-17267）

  - jackson-databind: org.apache.log4j.receivers.db.*でのシリアル化ガジェット（CVE-2019-17531）

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 4.1.42.Final より前の Netty は、HTTP ヘッダーのコロンの前の空白を誤って処理しますTransfer-Encoding : チャンクされた行など。これにより、HTTP リクエストのスマグリングが発生します。CVE-2019-16869

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
129476	Debian DLA-1941-1 : nettyセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2019/10/1	2024/4/22	high
140753	Ubuntu 18.04 LTS：Nettyの脆弱性（USN-4532-1）	Nessus	Ubuntu Local Security Checks	2020/9/23	2024/8/29	critical
133157	RHEL 7: RHEL 7上のRed Hat JBoss Enterprise Application Platform 7.2.6 （RHSA-2020: 0160)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
141822	Ubuntu 16.04LTS：Nettyの脆弱性 (USN-4600-1)	Nessus	Ubuntu Local Security Checks	2020/10/22	2024/8/27	critical
206210	RHEL 7 : RHEL 7 上の Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	2024/8/26	2024/11/7	critical
133814	Debian DLA-2110-1 : netty-3.9セキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/2/20	2024/3/27	critical
140296	Debian DLA-2365-1: netty-3.9 セキュリティ更新	Nessus	Debian Local Security Checks	2020/9/8	2024/2/21	critical
133158	RHEL 8: RHEL 8上のRed Hat JBoss Enterprise Application Platform 7.2.6 （RHSA-2020: 0161)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
132635	Debian DSA-4597-1 : nettyセキュリティ更新プログラム	Nessus	Debian Local Security Checks	2020/1/6	2024/4/1	high
133156	RHEL 6：RHEL 6上のRed Hat JBoss Enterprise Application Platform 7.2.6 （RHSA-2020: 0159)	Nessus	Red Hat Local Security Checks	2020/1/22	2024/11/7	critical
251679	Linux Distros のパッチ未適用の脆弱性: CVE-2019-16869	Nessus	Misc.	2025/8/19	2025/8/19	high

検出

プラグインの検索

high

critical

critical

critical

critical

critical

critical

critical

high

critical

high