In Reactor Netty HTTP Server a malicious user can send a request using a specially crafted URL that can lead to a directory traversal attack

高 7.5CVE-2023-34062 · GHSA-xjhv-p3fv-x24r · 15/11/2023 公開 · 04/09/2026 更新

要点

CVE-2023-34062 は io.projectreactor.netty:reactor-netty-http, reactor netty (broadcom) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.1%（全脆弱性の 66.3% より高い）。
対処：1.0.39, 1.1.13 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
io.projectreactor.netty:reactor-netty-http Maven	`≥ 1.0.0, < 1.0.39≥ 1.1.0, < 1.1.13`	`1.0.391.1.13`
reactor netty broadcom	`≥ 1.0.0, < 1.0.39≥ 1.1.0, < 1.1.13`	`1.0.391.1.13`

概要

Specifically, an application is vulnerable if Reactor Netty HTTP Server is configured to serve static resources.

NVD の説明

In Reactor Netty HTTP Server, versions 1.1.x prior to 1.1.13 and versions 1.0.x prior to 1.0.39, a malicious user can send a request using a specially crafted URL that can lead to a directory traversal attack. Specifically, an application is vulnerable if Reactor Netty HTTP Server is configured to serve static resources.