Podatności Netty

W bibliotece Netty (komponent netty-codec-redis) przed wersjami 4.1.135.Final i 4.2.15.Final wykryto podatność na atak DoS. Atakujący może wysłać spreparowany ładunek Redis z głęboko zagnieżdżonymi tablicami, co powoduje alokację ogromnej liczby obiektów stanu i kolekcji, prowadząc do wyczerpania pamięci i błędu OutOfMemoryError.

W Netty przed wersjami 4.1.135.Final i 4.2.15.Final, reguły podsieci IPv6 mogą być omijane z powodu błędnej operacji maskowania w IpSubnetFilterRule.compareTo(). Publiczne adresy IP mogą ominąć ograniczenia.

W bibliotece netty incubator codec.bhttp przed wersją 0.0.21.Final funkcja HKDF_expand zwraca niepustą wartość nawet w przypadku błędu, co prowadzi do użycia zerowego klucza AES. Ponadto EVP_HPKE_CTX_export w przypadku błędu zwraca pustą tablicę zer, co skutkuje deterministycznym, przewidywalnym kluczem AEAD.

Netty to asynchroniczny, sterowany zdarzeniami framework sieciowy. Przed wersjami 4.2.13.Final i 4.1.133.Final, sekcja Properties nagłówka MQTT 5 jest parsowana i buforowana przed zastosowaniem jakiegokolwiek limitu rozmiaru wiadomości. W MqttDecoder metoda decodeVariableHeader() jest wywoływana przed sprawdzeniem bytesRemainingBeforeVariableHeader > maxBytesInMessage. decodeVariableHeader() może wywołać inne metody, które wywołują decodeProperties(). Netty nie stosuje żadnych limitów na rozmiar dekodowanych właściwości. Ponadto, ponieważ MqttDecoder rozszerza ReplayingDecoder, Netty wielokrotnie ponownie parsuje ogromne sekcje Properties i buforuje bajty w pamięci, aż do zakończenia parsowania. Może to powodować wysokie zużycie zasobów zarówno CPU, jak i pamięci. Podatność jest naprawiona w wersjach 4.2.13.Final i 4.1.133.Final.

Podatność w Netty (przed 4.2.13.Final i 4.1.133.Final) w HttpContentDecompressor. Parametr maxAllocation ograniczający rozmiar bufora dekompresji jest poprawnie egzekwowany dla kodowania gzip i deflate, ale jest ignorowany dla br (Brotli), zstd i snappy. Atakujący może ominąć ograniczenie dekompresji, wysyłając skompresowany ładunek z Content-Encoding: br zamiast gzip, co prowadzi do nieograniczonej alokacji pamięci i odmowy usługi (DoS) z powodu braku pamięci. Ta sama podatność istnieje w DelegatingDecompressorFrameListener dla połączeń HTTP/2.

W bibliotece Netty wykryto podatność w komponencie HttpClientCodec, która powoduje nieprawidłowe parowanie odpowiedzi HTTP z żądaniami w przypadku użycia potokowania (pipelining) z żądaniami GET i HEAD. Gdy serwer zwraca odpowiedzi 103 i 200, kolejka paruje odpowiedź HEAD z pierwszą odpowiedzią 200, co prowadzi do błędnego odczytu danych i przesunięcia strumienia.

W bibliotece Netty przed wersją 4.2.13.Final w dekoderze QpackDecoder podczas przetwarzania nagłówków HTTP/3 występuje podatność polegająca na braku weryfikacji długości literału przed alokacją pamięci. Atakujący może przesłać spreparowane ramki, które powodują alokację ogromnych buforów, co prowadzi do wyczerpania pamięci (Denial of Service).

Podatność w Netty przed wersjami 4.2.13.Final i 4.1.133.Final w HttpObjectDecoder umożliwia przemycanie żądań (request smuggling) w przypadku żądań HTTP/1.0 zawierających zarówno Transfer-Encoding: chunked, jak i Content-Length. Atakujący może wysłać takie żądanie, powodując niezgodność interpretacji granic wiadomości.

Netty, asynchroniczny framework sieciowy, zawiera podatność w kodzie DNS, która nie egzekwuje ograniczeń nazw domenowych zgodnych z RFC 1035. Problem występuje zarówno podczas kodowania, jak i dekodowania, co umożliwia atak dwukierunkowy: złośliwe odpowiedzi DNS mogą wykorzystać dekoder, a nazwy hostów kontrolowane przez użytkownika mogą wykorzystać enkoder.

Netty HttpProxyHandler tworzy żądania HTTP CONNECT z wyłączoną walidacją nagłówków, co pozwala na wstrzyknięcie dowolnych nagłówków HTTP przez atakującego kontrolującego nagłówki wyjściowe. Podatność występuje w wersjach przed 4.2.13.Final i 4.1.133.Final.

Podatność w Netty przed wersjami 4.1.132.Final i 4.2.10.Final umożliwia atak DoS przez wysłanie potoku ramek CONTINUATION. Brak limitu liczby ramek oraz obejście ograniczeń rozmiaru za pomocą ramek zerowych powoduje nadmierne zużycie CPU.

Podatność w Netty przed wersjami 4.1.132.Final i 4.2.10.Final powoduje nieprawidłowe parsowanie cytowanych ciągów w wartościach rozszerzeń kodowania transferu fragmentarycznego HTTP/1.1, co umożliwia ataki typu request smuggling.

Podatność w `SniHandler` w frameworku Netty pozwala na alokację do 16MB pamięci heap dla każdego kanału podczas handshake TLS. Brak odpowiednich kontroli pozwala na stworzenie pakietu, który może wykorzystać tę alokację, co prowadzi do potencjalnego wyczerpania zasobów.