Apache Groovy是美国阿帕奇(Apache)软件基金会的一种基于Java平台面向对象的编程语言,它结合了Python、Ruby和Smalltalk的许多强大的特性。
Apache Groovy 1.7.0版本至2.4.3版本的runtime/MethodClosure.java文件中的MethodClosure类存在安全漏洞。远程攻击者可借助特制的序列化对象利用该漏洞执行任意代码,或造成拒绝服务。
Google Guava 不可信数据的反序列化漏洞
不加限制或调节的资源分配
Google Guava是美国谷歌(Google)公司的一款包括图形库、函数类型、I/O和字符串处理等的Java核心库。
Google Guava 11.0至24.x中由于AtomicDoubleArray类(当使用Java序列化时)和CompoundOrdering类(当使用GWT序列化序列化时)使用立即分配方法,而未对客户端发送的内容以及数据大小是否合理进行检查。远程攻击者可利用该漏洞对依赖此库的服务器进行拒绝服务攻击,并反序列化攻击者提供的数据。
Netty 存在 HTTP 请求走私漏洞
HTTP请求走私
Netty 是一个非阻塞I/O客户端-服务器框架,主要用于开发Java网络应用程序,如协议服务器和客户端。
Netty 的受影响版本容易受到 HTTP 请求走私的攻击,原因是 Netty 错误地处理了 HTTP 标头中冒号前的空格如 Transfer-Encoding : chunked 。攻击者可利用此漏洞进行 HTTP 请求走私攻击,绕过安全控制,未经授权访问敏感数据。
Netty <=4.1.43.Final 存在 HTTP 请求走私漏洞
HTTP请求走私
Netty 是一个异步事件驱动的网络应用程序框架,用于快速开发可维护的高性能协议服务器和客户端。
由于 CVE-2019-16869 的修复不完整,Netty 4.1.43.Final 之前版本中存在HTTP请求走私,原因是 Netty 不正确地处理 Transfer-Encoding 中的 whitespace 如([space] Transfer-Encoding:Chunked)和 Content-Length 标头。攻击者可通过恶意构造请求标头,在 ELB(Elastic load balancer)将恶意请求发送给 Netty 时进行 HTTP 请求走私攻击,从而获取 Netty 中传输的敏感信息。
Netty <4.1.44.Final 存在 HTTP 请求走私漏洞
HTTP请求走私
Netty 是一个异步事件驱动的网络应用程序框架,用于快速开发可维护的高性能协议服务器和客户端。
Netty 4.1.44.Final之前版本中的 HttpObjectDecoder.java 类由于缺少对 HTTP 标头中冒号的监测,导致缺少冒号的 HTTP 标头会被解释为具有错误语法的单独标头或 invalid fold(无效折叠) 。攻击者可利用此漏洞通过发送恶意构造的 http 请求进行 HTTP 请求走私攻击,获取 Netty 中传输的敏感信息。
Netty <4.1.44.Final 存在 HTTP 请求走私漏洞
HTTP请求走私
Netty 是一个网络应用框架,用于快速开发可维护的高性能协议服务器和客户端。
由于对 CVE-2019-16869 的修复不完整,Netty 4.1.44.Final之前版本中的 HttpObjectDecoder.java 类由于对 HTTP/1.1 请求标头的不当验证从而存在 HTTP 请求走私漏洞。
由于 Netty 允许 Content-Length 标头中伴随有第二个 Content-Length 标头或 Transfer-Encoding 标头,攻击者可通过发送包含恶意构造的标头的 HTTP/1.1 进行 HTTP 请求走私攻击,进而获取 Netty 服务传输的敏感文件信息。
Google Guava 访问控制错误漏洞
关键资源权限分配不当
Google Guava是美国谷歌(Google)公司的一款包括图形库、函数类型、I/O和字符串处理等的Java核心库。
Guava 30.0版本之前存在访问控制错误漏洞,该漏洞源于Guava存在一个临时目录创建漏洞,允许访问机器的攻击者可利用该漏洞潜在地访问由Guava com.google.common.io.Files.createTempDir() 创建的临时目录中的数据。攻击者可以利用该漏洞访问临时文件目录。
Apache Groovy 临时目录信息泄露漏洞
缺省权限不正确
Apache Groovy 是一款基于Java平台面向对象的编程语言。
Apache Groovy 受影响版本会在操作系统临时目录中创建系统上所有用户共享的临时目录。此漏洞仅影响类 Unix 系统以及非常旧版本的 Mac OSX 和 Windows。
攻击者可通过该漏洞获取临时目录中的敏感信息。
Guava<32.0.0 存在竞争条件漏洞
创建拥有不安全权限的临时文件
Guava 是 Google 公司开发的开源 Java 代码库,提供常用的Java工具和数据结构。
Guava 1.0 至 31.1 版本中的 FileBackedOutputStream 类使用Java的默认临时目录创建文件,由于创建的文件名容易被攻击者猜测,在 Unix 和 Android Ice Cream Sandwich 系统中,允许具有访问默认 Java 临时目录权限的攻击者可创建同名的恶意文件造成文件冲突,如果应用程序依赖于攻击者创建的恶意文件,攻击者可操控应用程序的行为。
32.0.0 版本修复了此漏洞但是与 Windows 系统不兼容,建议 Windows 系统升级到 32.0.1 版本。
评论