CVE-2022-31684

ŚrednieCVSS 4.3

Opublikowano: 19/10/2022(UTC)Zaktualizowano: 04/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.65%

Percentyl 48 - wyżej niż 48% wszystkich znanych CVE

Streszczenie

Serwer HTTP Reactor Netty w wersjach 1.0.11 - 1.0.23 może logować nagłówki żądań w niektórych przypadkach nieprawidłowych żądań HTTP. Zalogowane nagłówki mogą ujawnić ważne tokeny dostępu osobom mającym dostęp do logów serwera. Problem dotyczy tylko nieprawidłowych żądań HTTP, gdy włączone jest logowanie na poziomie WARN.

Ocena ryzyka

Wyciek tokenów dostępu do logów może umożliwić nieautoryzowany dostęp do systemów, jeśli logi są dostępne dla niepowołanych osób.

Rekomendacja

Zaktualizuj Reactor Netty do wersji nowszej niż 1.0.23, aby uniknąć logowania nagłówków w nieprawidłowych żądaniach. Dodatkowo ogranicz dostęp do logów serwera i regularnie je przeglądaj.

Inne podatności w Reactor Netty HTTP Server

CVE-2023-34054Średnie
W serwerze HTTP Reactor Netty, w wersjach 1.1.x przed 1.1.13 oraz 1.0.x przed 1.0.39, istnieje możliwość, że użytkownik wyśle specjalnie spreparowane żądania HTTP, które mogą spowodować warunek denial-of-service (DoS). Podatność dotyczy aplikacji, w których włączona jest wbudowana integracja serwera HTTP Reactor Netty z Micrometer.

Oryginalny opis (angielski, źródło NVD)

Reactor Netty HTTP Server, in versions 1.0.11 - 1.0.23, may log request headers in some cases of invalid HTTP requests. The logged headers may reveal valid access tokens to those with access to server logs. This may affect only invalid HTTP requests where logging at WARN level is enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS