Netty <4.1.86.Final 存在 CRLF 注入漏洞

漏洞描述

Netty 是一个异步事件驱动的网络应用程序框架，用于快速开发可维护的高性能协议服务器和客户端。

Netty 4.1.86.Final之前版本中由于 DefaultHeaders 类中的 setObject 方法没有对 values 参数进行过滤，且使用值的 iterator （迭代器）调用 DefaultHttpHeaders.set 方法时不会执行标头验证从而存在 CRLF 注入漏洞。攻击者可通过向 Netty 服务发送包含恶意的 http 请求进行 CRLF 注入攻击，执行跨站点脚本攻击，获取 Netty 用户 cookie 等敏感信息。

漏洞名称	Netty <4.1.86.Final 存在 CRLF 注入漏洞
漏洞类型	-
发现时间	2022-12-13
漏洞影响广度	一般
MPS编号	MPS-2022-58552
CVE编号	CVE-2022-41915
CNVD编号	-

影响范围

io.netty:netty-codec-http@[4.0.0.Alpha1, 4.1.86.final)

修复方案

升级io.netty:netty-codec-http到 4.1.86.final 或更高版本

参考链接

https://www.oscs1024.com/hd/MPS-2022-58552

https://nvd.nist.gov/vuln/detail/CVE-2022-41915

https://github.com/netty/netty/security/advisories/GHSA-hh82-3pmq-7frp

https://github.com/netty/netty/commit/fe18adff1c2b333acb135ab779a3b9ba3295a1c4

    

情报订阅

OSCS(开源软件供应链安全社区)通过最快、最全的方式，发布开源项目最新的安全风险动态，包括开源组件安全漏洞、事件等信息。同时提供漏洞、投毒情报的免费订阅服务，社区用户可通过配置飞书、钉钉、企业微信机器人，及时获得一手情报信息推送：

https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见：

https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc