描述

Reactor Netty HttpServer 0.9.3 和 0.9.4 版本存在 URISyntaxException 漏洞，导致连接过早关闭，而不是返回 400 响应。

受影响的 Spring 产品和版本

• Reactor Netty
  • 0.9.3
  • 0.9.4

缓解措施

受影响版本的使用者应升级到 0.9.5（reactor-bom Dysprosium SR-5）。无需执行其他步骤。

• Reactor Netty
  • 0.9.5

致谢

此问题由 Wojciech Kuranowski 发现并负责任地报告。

参考

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H

历史记录

• 2020-02-27：发布初始漏洞报告。