CVE-2023-34054

ŚrednieCVSS 5.3

Opublikowano: 28/11/2023(UTC)Zaktualizowano: 04/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.91%

Percentyl 57 - wyżej niż 57% wszystkich znanych CVE

Streszczenie

W serwerze HTTP Reactor Netty, w wersjach 1.1.x przed 1.1.13 oraz 1.0.x przed 1.0.39, istnieje możliwość, że użytkownik wyśle specjalnie spreparowane żądania HTTP, które mogą spowodować warunek denial-of-service (DoS). Podatność dotyczy aplikacji, w których włączona jest wbudowana integracja serwera HTTP Reactor Netty z Micrometer.

Ocena ryzyka

Atak DoS może spowodować niedostępność serwera HTTP, co może zakłócić działanie aplikacji i wpłynąć na ciągłość biznesową.

Rekomendacja

Zaktualizuj Reactor Netty do wersji 1.1.13 lub nowszej (dla serii 1.1.x) oraz do 1.0.39 lub nowszej (dla serii 1.0.x). Jeśli to możliwe, rozważ wyłączenie integracji z Micrometer, jeśli nie jest niezbędna.

Inne podatności w Reactor Netty HTTP Server

CVE-2022-31684Średnie
Serwer HTTP Reactor Netty w wersjach 1.0.11 - 1.0.23 może logować nagłówki żądań w niektórych przypadkach nieprawidłowych żądań HTTP. Zalogowane nagłówki mogą ujawnić ważne tokeny dostępu osobom mającym dostęp do logów serwera. Problem dotyczy tylko nieprawidłowych żądań HTTP, gdy włączone jest logowanie na poziomie WARN.

Oryginalny opis (angielski, źródło NVD)

In Reactor Netty HTTP Server, versions 1.1.x prior to 1.1.13 and versions 1.0.x prior to 1.0.39, it is possible for a user to provide specially crafted HTTP requests that may cause a denial-of-service (DoS) condition. Specifically, an application is vulnerable if Reactor Netty HTTP Server built-in integration with Micrometer is enabled.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS