Netty — это платформа сетевых приложений для разработки серверов протоколов и клиентов. В версиях с 4.2.0.Final по 4.2.15.Final и до 4.1.135.Final OcspClient не проверяет, соответствует ли CertificateID в ответе OCSP запрошенному CertificateID, что может привести к повторной атаке. OcspClient.validateResponse принимает законно подписанный ответ о состоянии «ХОРОШО» для несвязанного сертификата, выданного тем же центром сертификации, что позволяет обходить проверки отзыва для другого сертификата. Эта проблема исправлена в версиях 4.1.136.Final и 4.2.16.Final.
Показать оригинальное описание (EN)
Netty is a network application framework for development of protocol servers and clients. In versions 4.2.0.Final through 4.2.15.Final and prior to 4.1.135.Final, `OcspClient` does not validate that the `CertificateID` in an OCSP response matches the requested `CertificateID`, which can lead to replay attack. `OcspClient.validateResponse` accepts a legitimately signed `GOOD` status response for an unrelated certificate issued by the same CA, allowing bypass of revocation checks for another certificate. This issue is fixed in versions 4.1.136.Final and 4.2.16.Final.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Netty Netty
cpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*
|
— |
4.1.136
|
|
Netty Netty
cpe:2.3:a:netty:netty:*:*:*:*:*:*:*:*
|
4.2.0
|
4.2.16
|