描述

在 Reactor Netty HTTP 伺服器中，1.1.x 版本低於 1.1.13 以及 1.0.x 版本低於 1.0.39 的版本中，惡意使用者可以使用專門設計的 URL 傳送請求，從而導致目錄遍歷攻擊。

具體來說，如果 Reactor Netty HTTP 伺服器配置為服務靜態資源，則應用程式容易受到攻擊。

受影響的 Spring 產品和版本

• Reactor Netty
  • 1.1.0 到 1.1.12
  • 1.0.0 到 1.0.38
  • 以及更舊的不受支援的版本

緩解措施

受影響版本的使用者應應用以下緩解措施。 1.1.x 使用者應升級到 1.1.13。 1.0.x 使用者應升級到 1.0.39。 不需要其他步驟。 修復此問題的版本包括

• Reactor Netty
  • 1.1.13
  • 1.0.39

鳴謝

此問題由 BVU Beratergruppe Verkehr + Umwelt GmbH 的 Michael Ummels 博士發現並負責任地報告。

參考

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N&version=3.1

歷史記錄

• 2023-11-15：釋出初始漏洞報告。