描述

Reactor Netty HttpServer 0.9.3 和 0.9.4 版本存在 URISyntaxException 漏洞，该漏洞会导致连接过早关闭，而不是生成 400 响应。

受影响的 Spring 产品和版本

• Reactor Netty
  • 0.9.3
  • 0.9.4

缓解措施

受影响版本的用户应升级到 0.9.5 (reactor-bom Dysprosium SR-5)。无需其他步骤。

• Reactor Netty
  • 0.9.5

鸣谢

此问题由 Wojciech Kuranowski 发现并负责任地报告。

参考

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

历史

• 2020-02-27：发布初始漏洞报告。