Netty HTTP Transfer-Encoding Fallback Vulnerability Analysis

漏洞关键信息总结 漏洞概述 类型：HTTP 请求分帧（Transfer-Encoding）处理缺陷 问题描述：HTTP/1.1 请求分帧依赖所有请求头中的 字段。RFC 9112 规定分帧编码必须作为最后一个分帧编码出现。此前 Netty 的校验逻辑仅检查最后一个 token 是否看起来像分帧编码（如 ），导致： - 包含 但未被分帧的请求可能被错误地按 处理； - 无效请求分帧可能被接受，而非按 RFC 9112 拒绝。 修复目标：拒绝无效的请求分帧；校验 必须作为最后一个分帧编码出现；对非分帧请求的 与 组合进行严格校验。 影响范围 受影响组件： 模块中的 （请求解码器） 受影响版本：Netty 4.2.x 系列（提交针对 ） 影响：可能导致请求体长度解析错误、请求被错误接受或拒绝，影响 HTTP 请求的健壮性与安全性。 修复方案 1. 严格校验 分帧： - 校验 必须作为最后一个分帧编码出现； - 对非分帧请求中同时存在 与 的情况进行校验； - 对伪后缀值、非分帧请求的 进行拒绝。 2. 新增/修改代码（ ）： - 新增 判断逻辑； - 新增 私有方法，遍历 值，校验最后一个编码是否为 ； - 新增 方法，比较 与 值。 3. 新增测试（ 、 ）： - 测试无效 分帧被拒绝； - 测试 与 组合的校验； - 测试非分帧请求的 处理。 POC / 利用代码

目標達成すべての支援者に感謝 — 100%達成しました！

Netty HTTP Transfer-Encoding Fallback Vulnerability Analysis

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Netty HTTP Transfer-Encoding Fallback Vulnerability Analysis

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！