描述

Reactor Netty HTTP 服务器在 1.0.11 - 1.0.23 版本中，在某些无效 HTTP 请求的情况下可能会记录请求头。记录的请求头可能会泄露有效访问令牌给那些可以访问服务器日志的人。这可能仅影响在启用 WARN 级别日志记录的无效 HTTP 请求。

受影响的 Spring 产品和版本

• Reactor Netty
  • 1.0.11 至 1.0.23

缓解措施

受影响版本的使用者应应用以下缓解措施。1.0.x 用户如果未使用默认日志级别（ERROR），则应升级到 1.0.24（reactor-bom 2020.0.24）。无需其他步骤。已修复此问题的版本包括

• Reactor Netty
  • 1.0.24

参考

• https://tanzu.vmware.com/security/cve-2022-31684

历史

• 2022-10-19：发布初始漏洞报告。