遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2024:5856 公告中提及的多個弱點影響。

    Red Hat JBoss Enterprise Application Platform 7 是一個以 WildFly 應用程式執行時間為基礎的 Java 應用程式平台。本版本 Red Hat JBoss Enterprise Application Platform 7.1.7 是 Red Hat JBoss Enterprise Application Platform 7.1.6 的替代版本，其中包含錯誤修正和增強功能。如需此公告中包含的最重要的錯誤修正和增強功能的相關資訊，請參閱 Red Hat JBoss Enterprise Application Platform 7.1.7 版本資訊。

    安全性修正：

    * undertow：EAP：未依照 RFC7230 剖析欄位名稱 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils：apache-commons-beanutils：未預設隱藏 PropertyUtilsBean 中的類別屬性 [eap-7.1.z] (CVE-2019-10086)

    * log4j：應用程式設定為使用 JMSSink 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind：預設輸入處理不當導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-14379)

    * undertow：HTTP/2：使用 HEADERS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9514)

    * undertow：AJP 檔案讀取/包含弱點 [eap-7.1.z] (CVE-2020-1745)

    * undertow：HTTP/2：大量的資料要求導致拒絕服務 [eap-7.1.z] (CVE-2019-9511)

    * undertow：servletPath 未經正確標準化，可造成危險的應用程式對應，進而可導致安全機制迴避 [eap-7.1.z] (CVE-2020-1757)

    * undertow：在接聽 HTTPS 的 Undertow HTTP 伺服器中可能發生拒絕服務 (DOS) [eap-7.1.z] (CVE-2019-14888)

    * log4j：Chainsaw 記錄檢視器中的不安全還原序列化缺陷 [eap-7.1.z] (CVE-2022-23307)

    * netty：HttpObjectDecoder.java 允許 Content-Length 標頭隨附第二個 Content-Length 標頭 [eap-7.1.z] (CVE-2019-20445)

    * log4j：應用程式設定為使用 JMSAppender 時，Log4j 1.x 中將出現遠端程式碼執行問題 [eap-7.1.z] (CVE-2021-4104)

    * undertow：HTTP/2：使用 SETTINGS 框架的溢流導致記憶體無限增長 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core：infinispan：ReflectionUtil 類別的 invokeAccessibly 方法允許叫用私密方法 [eap-7.1.z] (CVE-2019-10174)

    * log4j：應用程式設定為使用 JDBCAppender 時，Log4j 1.x 中將出現 SQL 插入問題 [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind：未封鎖來自多型態還原序列化的 logback-core 類別，進而導致遠端程式碼執行 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager：安全性管理員授權繞過 (CVE-2019-14843)

    * HTTP/2：使用 PING 框架的溢流，會導致無限的記憶體增長 (CVE-2019-9512)

    * netty：未正確處理 HTTP 標頭冒號前的空格而導致 HTTP 要求走私 (CVE-2019-16869)

    * jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

    * netty：HTTP 要求走私 (CVE-2019-20444)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

远程 Ubuntu 16.04 LTS 主机上安装的程序包受到 USN-4600-1 公告中提及的多个漏洞的影响。

  - 版本低于 4.1.42 最终版的 Netty 未正确处理 HTTP 标头中冒号前的空格（例如“Transfer-Encoding : chunked”行），可能会造成 HTTP 请求走私。(CVE-2019-16869)

  - 在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或无效折叠。
    (CVE-2019-20444)

  - 在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许 Content-Length 标头附带第二个 Content-Length 标头或 Transfer-Encoding 标头。(CVE-2019-20445)

  - Netty 4.1.43.Final 允许 HTTP 请求走私，因为其错误处理传输编码空白（例如 [space]Transfer-Encoding：分块的行）和更高版本的 Content-Length 标头。此问题是因对 CVE-2019-16869 的修复不完整所致。(CVE-2020-7238)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

远程 Ubuntu 18.04 LTS 主机上安装的一个程序包受到 USN-4600-2 公告中提及的多个漏洞影响。

    USN-4600-1 修复了 Netty 3.9 中的多个漏洞。此更新针对 Netty 的 CVE-2019-20444、CVE-2019-20445 提供了相应修复。

    另外，发现 Netty 允许不受限制的内存分配。远程攻击者可向 Netty 服务器发送大型流，导致其崩溃（拒绝服务）。(CVE-2020-11612)



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或无效折叠。
    (CVE-2019-20444)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2024:5856 公告中提及的多个漏洞影响。

    Red Hat JBoss Enterprise Application Platform 7 是基于 WildFly 应用程序运行时的 Java 应用程序平台。此 Red Hat JBoss Enterprise Application Platform 7.1.7 版本可替换 Red Hat JBoss Enterprise Application Platform 7.1.6，并包含缺陷修复和多项增强。请参阅 Red Hat JBoss Enterprise Application Platform 7.1.7 版本说明以获取有关此版本最重要的缺陷修复和增强功能信息。

    安全修复：

    * undertow：EAP：字段名称未按照 RFC7230 进行解析 [eap-7.1.z] (CVE-2020-1710)

    * commons-beanutils：apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类属性 [eap-7.1.z] (CVE-2019-10086)

    * log4j：当应用程序配置为使用 JMSSink 时，Log4j 1.x 中会发生远程代码执行问题 [eap-7.1.z] (CVE-2022-23302)

    * jackson-databind：未正确处理默认输入导致远程代码执行 [eap-7.1.z] (CVE-2019-14379)

    * undertow：HTTP/2：使用 HEADERS 框架的洪流导致无限制内存增长 [eap-7.1.z] (CVE-2019-9514)

    * undertow：AJP 文件读取/注入漏洞 [eap-7.1.z] (CVE-2020-1745)

    * undertow：HTTP/2：大量的数据请求导致拒绝服务 [eap-7.1.z] (CVE-2019-9511)

    * undertow：servletPath 未经正确标准化，因此会造成危险的应用程序映射，这可能会导致安全绕过 [eap-7.1.z] (CVE-2020-1757)

    * undertow：侦听 HTTPS 的 Undertow HTTP 服务器中可能存在的拒绝服务 (DOS) 漏洞 [eap-7.1.z] (CVE-2019-14888)

    * log4j：Chainsaw 日志查看器中存在不安全的反序列化缺陷 [eap-7.1.z] (CVE-2022-23307)

    * netty：HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头 [eap-7.1.z] (CVE-2019-20445)

    * log4j：当应用程序配置为使用 JMSAppender 时，Log4j 1.x 中会发生远程代码执行问题 [eap-7.1.z] (CVE-2021-4104)

    * undertow：HTTP/2：使用 SETTINGS 框架的 Flood 导致无限制的内存增长 [eap-7.1.z] (CVE-2019-9515)

    * infinispan-core：infinispan：ReflectionUtil 类的 invokeAccessibly 方法允许调用私有方法 [eap-7.1.z] (CVE-2019-10174)

    * log4j：当应用程序配置为使用 JDBCAppender 时，Log4j 1.x 中会发生 SQL 注入问题 [eap-7.1.z] (CVE-2022-23305)

    * jackson-databind：无法阻止 logback-core 类进行多态反序列化，可导致远程代码执行 [eap-7.1.z] (CVE-2019-12384)

    * wildfly-security-manager：安全管理器授权绕过 (CVE-2019-14843)

    * HTTP/2：使用 PING 帧进行淹没会导致无限的内存增长 (CVE-2019-9512)

    * netty：通过错误处理 HTTP 标头冒号前的空格来触发 HTTP 请求走私攻击 (CVE-2019-16869)

    * jackson-databind：org.apache.log4j.receivers.db 中的序列化小工具。* (CVE-2019-17531)

    * netty：HTTP 请求走私 (CVE-2019-20444)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Java NIO 客户端/服务器套接字框架 Netty 所提供的 HTTP 服务器中发现多个漏洞：

CVE-2019-20444

HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或“无效折叠”。

CVE-2019-20445

HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头或传输编码标头。

CVE-2020-7238

Netty 允许 HTTP 请求走私，因为其错误处理传输编码空白（例如 [space]Transfer-Encoding：分块的行）和更高版本的内容长度标头。

对于 Debian 8“Jessie”，已在版本 1:3.2.6.Final-2+deb8u2 中修复这些问题。

建议您升级 netty 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

在 Java NIO 客户端/服务器套接字框架 Netty 中发现多个漏洞：

CVE-2014-0193

WebSocket08FrameDecoder 允许远程攻击者通过后跟长 ContinuationWebSocketFrames 流的 TextWebSocketFrame 造成拒绝服务（内存消耗）。

CVE-2014-3488

SslHandler 允许远程攻击者通过构建的 SSLv2Hello 消息造成拒绝服务（无限循环和 CPU 消耗）。

CVE-2019-16869

Netty 未正确处理 HTTP 标头中冒号前的空格（例如“Transfer-Encoding : chunked”行），这会造成 HTTP 请求走私。

CVE-2019-20444

HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或“无效折叠”。

CVE-2019-20445

HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头或传输编码标头。

CVE-2020-7238

Netty 允许 HTTP 请求走私，因为其错误处理传输编码空白（例如 [space]Transfer-Encoding：分块的行）和更高版本的内容长度标头。

对于 Debian 8“Jessie”，已在版本 3.9.0.Final-1+deb8u1 中修复这些问题。

我们建议您升级 netty-3.9 程序包。

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

远程 Redhat Enterprise Linux 6 / 8 主机上安装的程序包受到 RHSA-2020: 0605 公告中提及的多个漏洞的影响。

  - netty：HTTP 请求走私 (CVE-2019-20444)

  - netty：HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头 (CVE-2019-20445)

  - netty：发生 HTTP 请求走私，这是传输编码空白处理不当所致 (CVE-2020-7238)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2020: 0805 公告中提及的多个漏洞的影响。

  - thrift：当源具有特定输入数据时，存在无限循环 (CVE-2019-0205)

  - thrift：与 TJSONProtocol 或 TSimpleJSONProtocol 相关的越界读取 (CVE-2019-0210)

  - apache-commons-beanutils：未在默认情况下禁用 PropertyUtilsBean 中的类别属性 (CVE-2019-10086)

  - xml-security：Apache Santuario 可能从不受信任的来源加载 XML 解析代码 (CVE-2019-12400)

  - wildfly：如果 OpenSSL 安全提供程序在使用中，则不遵从旧版安全提供程序中的“enabled-protocols”值 (CVE-2019-14887)

  - netty：HTTP 请求走私 (CVE-2019-20444)

  - netty：HttpObjectDecoder.java 允许内容长度标头附带第二个内容长度标头 (CVE-2019-20445)

  - netty：发生 HTTP 请求走私，这是传输编码空白处理不当所致 (CVE-2020-7238)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

在 Java NIO 客户端/服务器套接字框架 netty-3.9 中发现多个漏洞。

CVE-2019-16869

版本低于 4.1.42 最终版的 Netty 未正确处理 HTTP 标头中冒号前的空格（例如“Transfer-Encoding : chunked”行），这会造成 HTTP 请求走私。

CVE-2019-20444

在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许缺少冒号的 HTTP 标头，此类标头可解释为语法错误的单独标头，或“无效折叠”。

CVE-2019-20445

在版本低于 4.1.44 的 Netty 中，HttpObjectDecoder.java 允许 Content-Length 标头附带第二个 Content-Length 标头或 Transfer-Encoding 标头。

对于 Debian 9 stretch，已在版本 3.9.9.Final-1+deb9u1 中修复这些问题。

我们建议您升级 netty-3.9 程序包。

如需了解 netty-3.9 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/netty-3.9

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

ID	Name	Product	Family	Published	Updated	Severity
206210	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	8/26/2024	11/7/2024	critical
141822	Ubuntu 16.04 LTS：Netty 漏洞 (USN-4600-1)	Nessus	Ubuntu Local Security Checks	10/22/2020	8/27/2024	critical
141934	Ubuntu 18.04 LTS：Netty 漏洞 (USN-4600-2)	Nessus	Ubuntu Local Security Checks	10/27/2020	10/29/2024	critical
251746	Linux Distros 未修补的漏洞：CVE-2019-20444	Nessus	Misc.	8/19/2025	8/19/2025	critical
206210	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.1.7 (RHSA-2024:5856)	Nessus	Red Hat Local Security Checks	8/26/2024	11/7/2024	critical
133813	Debian DLA-2109-1：netty 安全更新	Nessus	Debian Local Security Checks	2/20/2020	3/27/2024	critical
133814	Debian DLA-2110-1：netty-3.9 安全更新	Nessus	Debian Local Security Checks	2/20/2020	3/27/2024	critical
134098	RHEL 6 / 8：Red Hat JBoss Enterprise Application Platform 7.2 (RHSA-2020: 0605)	Nessus	Red Hat Local Security Checks	2/27/2020	11/7/2024	critical
134613	RHEL 7：RHEL 7 上的 Red Hat JBoss Enterprise Application Platform 7.2.7 (RHSA-2020: 0805)	Nessus	Red Hat Local Security Checks	3/16/2020	11/7/2024	critical
140296	Debian DLA-2365-1：netty-3.9 安全更新	Nessus	Debian Local Security Checks	9/8/2020	2/21/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical