描述

Reactor Netty HttpClient，0.9.x 版本早於 0.9.5，以及 0.8.x 版本早於 0.8.16，可能被不正確地使用，導致重新導向到不同網域時發生憑證洩漏。 為了發生這種情況，HttpClient 必須已明確配置為跟隨重新導向。

受影響的 Spring 產品和版本

• Reactor Netty
  • 0.9 至 0.9.4
  • 0.8 至 0.8.15

緩解措施

受影響版本的用戶應採取以下緩解措施：0.9.x 用戶應升級到 0.9.5 (reactor-bom Dysprosium SR-5)，0.8.x 用戶應升級到 0.8.16 (reactor-bom Californium SR-16)。 注意：Reactor Netty 0.9.5 和 0.8.16 依賴於 Netty 4.1.45+。 Spring Boot 應用程式應升級到 2.2.5 或 2.1.13 才能使用上述版本。 無需其他步驟。 在某些情況下，升級後，應用程式在重新導向到不同網域後可能會遇到驗證失敗。 如果發生這種情況，應用程式可能需要明確配置 Reactor Netty HttpClient 與重新導向請求處理程序。 修正此問題的版本包括

• Reactor Netty
  • 0.8.16
  • 0.9.5

致謝

此問題由 Volkswagen Group IT Services GmbH 的 Ludwig Bedacht 和 Daniel Spruth 識別並負責任地報告。

參考資料

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:L/A:N

歷史記錄

• 2020-02-27：發佈初始漏洞報告。