BDU:2022-00303 (CVE-2021-21295)

Уязвимость класса Http2MultiplexHandler сетевого программного средства Netty, связанная с недостатком в интерпретации HTTP-запросов, позволяющая нарушителю оказать воздействие на целостность данных

Опубликовано: 2022-01-20

Описание

Уязвимость класса Http2MultiplexHandler сетевого программного средства Netty связана с некорректной обработкой запроса при преобразовании HTTP/2 потока в HTTP/1.1. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition (1.7)netty (до 4.1.60)ОС ТД АИС ФССП России (ИК6)ОСОН ОСнова Оnyx (до 2.1)

Способ устранения

Для Netty:
использование рекомендаций производителя: https://github.com/netty/netty/commit/89c241e3b1795ff257af4ad6eadc616cb2fb3dc4

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-21295

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Для ОСОН Основа:
Обновление программного обеспечения netty до версии 1:4.1.33-1+deb10u2

Оценка CVSS

Балл	2.6 — средняя опасность

Источники и патчи

https://github.com/Netflix/zuul/pull/980 https://github.com/netty/netty/commit/89c241e3b1795ff257af4ad6eadc616cb2fb3dc4 https://github.com/netty/netty/security/advisories/GHSA-wm47-8v5p-wjpj https://nvd.nist.gov/vuln/detail/CVE-2021-21295 https://security-tracker.debian.org/tracker/CVE-2021-21295 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://goslinux.fssp.gov.ru/2726972/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена