Reactor Netty HTTP Server 路径穿越漏洞

漏洞描述

Netty 是一个用于开发Java网络应用程序的非阻塞 I/O框架，Reactor Netty是基于Netty框架的非阻塞请求客户端与服务端。

Reactor Netty HTTP Server <1.1.13或<1.0.39版本中 ，当Reactor Netty HTTP Server被配置为提供静态资源时，url中的scheme会被传递到UriEndpoint中并与pathAndQuery拼接，返回对应的文件，导致路径穿越攻击。

漏洞修复通过增加 validateScheme 方法对 scheme 进行验证，避免路径穿越。

漏洞名称	Reactor Netty HTTP Server 路径穿越漏洞
漏洞类型	路径遍历
发现时间	2023-11-16
漏洞影响广度	一般
MPS编号	MPS-4391-uwmo
CVE编号	CVE-2023-34062
CNVD编号	-

影响范围

io.projectreactor.netty:reactor-netty-http@[1.0.0, 1.0.39)

io.projectreactor.netty:reactor-netty-http@[1.1.0, 1.1.13)

修复方案

将 io.projectreactor.netty:reactor-netty-http 升级至 1.0.39 、1.1.13及以上版本

将组件 io.projectreactor.netty:reactor-netty-http 升级至 1.0.39 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-4391-uwmo

https://nvd.nist.gov/vuln/detail/CVE-2023-34062

https://spring.io/security/cve-2023-34062

https://github.com/advisories/GHSA-xjhv-p3fv-x24r

Commit

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc