描述

Reactor Netty 的 0.8.x 版本（低于 0.8.13）和 0.9.x 版本（低于 0.9.1）依赖于存在漏洞的 netty 版本（低于 4.1.42），这些版本错误地处理了标头中冒号前的空格，从而导致 HTTP 请求走私攻击。

参考

• https://pivotal.io/security/cve-2019-16869
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2019-16869

历史

2019-10-28：发布初始漏洞报告。