Invalid HTTP requests in Reactor Netty HTTP Server may reveal access tokens

中 4.3CVE-2022-31684 · GHSA-7w4x-4h67-pgmv · 19/10/2022 公開 · 04/09/2026 更新

要点

CVE-2022-31684 は io.projectreactor.netty:reactor-netty-http, reactor netty (broadcom) に影響する深刻度「中」 (CVSS 4.3) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.77%（全脆弱性の 55.5% より高い）。
対処：1.0.24 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
io.projectreactor.netty:reactor-netty-http Maven	`≥ 1.0.11, < 1.0.24`	`1.0.24`
reactor netty broadcom	`≥ 1.0.11, ≤ 1.0.23`	修正版なし

概要

Reactor Netty HTTP Server, in versions 1.0.11 - 1.0.23, may request log headers in some cases of invalid HTTP requests. The logged headers may reveal valid access tokens to those with access to server logs. This may affect only invalid HTTP requests where logging at WARN level is enabled.

NVD の説明

Reactor Netty HTTP Server, in versions 1.0.11 - 1.0.23, may log request headers in some cases of invalid HTTP requests. The logged headers may reveal valid access tokens to those with access to server logs. This may affect only invalid HTTP requests where logging at WARN level is enabled.