Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2021-21295 medium CVSS 5.9

Vulnérabilité dans Oracle Apache (CVE-2021-21295)

Résumé

Vulnérabilité dans Oracle Apache (CVE-2021-21295). Les données peuvent être altérées par des attaquants. Exploitable via Http2MultiplexHandler. Atténuation : mise à jour vers 4.1.60.Final ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Netty is an open-source, asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In Netty (io.netty:netty-codec-http2) before version 4.1.60.Final there is a vulnerability that enables request smuggling. If a Content-Length header is present in the original HTTP/2 request, the field is not validated by Http2MultiplexHandler as it is propagated up. This is fine as long as the request is not proxied through as HTTP/1.1. If the request comes in as an HTTP/2 stream, gets converted into the HTTP/1.1 domain objects (HttpRequest, HttpContent, etc.) via Http2StreamFrameToHttpObjectCodec and then sent up to the child channel's pipeline and proxied through a remote peer as HTTP/1.1 this may result in request smuggling. In a proxy case, users may assume the content-length is validated somehow, which is not the case. If the request is forwarded to a backend channel that is a HTTP/1.1 connection, the Content-Length now has meaning and needs to be checked. An attacker can smuggle requests inside the body as it gets downgraded from HTTP/2 to HTTP/1.1. For an example attack refer to the linked GitHub Advisory. Users are only affected if all of this is true: HTTP2MultiplexCodec or Http2FrameCodec is used, Http2StreamFrameToHttpObjectCodec is used to convert to HTTP/1.1 objects, and these HTTP/1.1 objects are forwarded to another remote peer. This has been patched in 4.1.60.Final As a workaround, t…

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2021-21295 a été découverte dans Oracle Apache.
Des attaquants peuvent cibler un point d'entrée spécifique comme Http2MultiplexHandler à distance pour détourner le produit.
Les données peuvent être altérées par des attaquants. Score CVSS : 5.9/10.
Action : mettez à jour Oracle Apache vers 4.1.60.Final ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « Oracle Apache CVE-2021-21295 » sur le site de l'éditeur.

CVE-2021-21295 (Oracle Apache) — CWE-444 / CVSS v3 5.9
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : Http2MultiplexHandler / HttpRequest / HttpContent / HTTP2MultiplexCodec
Correctif : 4.1.60.Final — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-444) affecte Oracle Apache. Les attaquants atteignent le code vulnérable via Http2MultiplexHandler sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de Oracle Apache. Surface d'attaque : Http2MultiplexHandler / HttpRequest / HttpContent / HTTP2MultiplexCodec.

🔥 Gravité

Gravité : Moyenne (CVSS 5.9/10). Les données peuvent être altérées par des attaquants.

🔧 Comment corriger

Mettre à jour vers 4.1.60.Final.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'Apache' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で Apache を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade Oracle Apache to 4.1.60.Final

    ステージング環境で 4.1.60.Final に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

État des correctifs par distribution

Paquets corrigés publiés par chaque distribution pour cette CVE

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus