Vulnerabilidad en Netty (CVE-2022-41915)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-113
Neutralización incorrecta de secuencias CRLF en cabeceras HTTP (División de respuesta HTTP)
Fecha de publicación:
13/12/2022
Última modificación:
01/03/2023
Descripción
El proyecto Netty es un framework de aplicación de red asíncrona impulsado por eventos. A partir de la versión 4.1.83.Final y anteriores a la 4.1.86.Final, al llamar a `DefaultHttpHeadesr.set` con un _iterator_ de valores, no se realizaba la validación del valor del encabezado, lo que permitía que los valores de encabezado maliciosos en el iterador realizaran la división de respuesta HTTP. Este problema se solucionó en la versión 4.1.86.Final. Los integradores pueden solucionar el problema cambiando la llamada `DefaultHttpHeaders.set(CharSequence, Iterator)` a una llamada `remove()` y llamando a `add()` en un bucle sobre el iterador de valores.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:netty:netty:*:*:*:*:*:*:*:* | 4.1.83 (incluyendo) | 4.1.86 (excluyendo) |
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
| cpe:2.3:o:debian:debian_linux:11.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/netty/netty/commit/fe18adff1c2b333acb135ab779a3b9ba3295a1c4
- https://github.com/netty/netty/issues/13084
- https://github.com/netty/netty/pull/12760
- https://github.com/netty/netty/security/advisories/GHSA-hh82-3pmq-7frp
- https://lists.debian.org/debian-lts-announce/2023/01/msg00008.html
- https://security.netapp.com/advisory/ntap-20230113-0004/
- https://www.debian.org/security/2023/dsa-5316