描述

在 Reactor Netty HTTP 服务器中，1.1.x 版本低于 1.1.13 以及 1.0.x 版本低于 1.0.39 的版本中，恶意用户可以使用专门设计的 URL 发送请求，从而导致目录遍历攻击。

具体来说，如果 Reactor Netty HTTP 服务器配置为服务静态资源，则应用程序容易受到攻击。

受影响的 Spring 产品和版本

• Reactor Netty
  • 1.1.0 到 1.1.12
  • 1.0.0 到 1.0.38
  • 以及更旧的不受支持的版本

缓解措施

受影响版本的用户应应用以下缓解措施。 1.1.x 用户应升级到 1.1.13。 1.0.x 用户应升级到 1.0.39。 不需要其他步骤。 修复此问题的版本包括

• Reactor Netty
  • 1.1.13
  • 1.0.39

鸣谢

此问题由 BVU Beratergruppe Verkehr + Umwelt GmbH 的 Michael Ummels 博士发现并负责任地报告。

参考

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N&version=3.1

历史记录

• 2023-11-15：发布初始漏洞报告。