CVE-2021-21409

io.netty:netty-codec-http2 versões anteriores à 4.1.61.Final

O problema está relacionado à falta de validação adequada do cabeçalho content-length em solicitações HTTP/2. Se uma solicitação usar apenas um único Http2HeaderFrame com o endStream definido como true, o cabeçalho content-length não será validado corretamente. Isso pode levar ao contrabando de solicitações se a solicitação for encaminhada por um proxy para um par remoto e convertida para HTTP/1.1. Um invasor pode contrabandear solicitações dentro do corpo da mensagem à medida que ela é rebaixada de HTTP/2 para HTTP/1.1.

Para versões anteriores à 4.1.61.Final, atualize para a versão 4.1.61.Final para resolver o problema.

Como solução alternativa temporária, os usuários podem realizar a validação por conta própria implementando um ChannelInboundHandler personalizado que seja colocado no ChannelPipeline atrás do Http2StreamFrameToHttpObjectCodec.

A validação também pode ser feita pelo usuário antes de encaminhar a solicitação por meio de um proxy, validando o cabeçalho.