CVE-2021-21409mediumCWE-444

CVE-2021-21409: falha de média gravidade em netty

Possible request smuggling in HTTP/2 due missing validation of content-length

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar netty+ Monitorar netty

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.9epss 4.9%
Em resumo

O Netty não valida corretamente o header content-length em requisições HTTP/2 específicas, permitindo que um atacante contrabandear requisições maliciosas através de proxies. Isso pode resultar em interceptação, envenenamento de cache ou execução de ações não autorizadas.

Detalhe técnico

CVE-2021-21409 é uma vulnerabilidade de contrabando de requisições HTTP no codec HTTP/2 do Netty, onde a validação de content-length é contornada quando um único Http2HeaderFrame possui endStream=true. O problema ocorre durante a tradução HTTP/2 para HTTP/1.1 em proxies, permitindo injeção de requisições que são interpretadas diferentemente por sistemas upstream e downstream.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Netty is an open-source, asynchronous event-driven network application framework for rapid development of maintainable high performance protocol servers & clients. In Netty (io.netty:netty-codec-http2) before version 4.1.61.Final there is a vulnerability that enables request smuggling. The content-length header is not correctly validated if the request only uses a single Http2HeaderFrame with the endStream set to to true. This could lead to request smuggling if the request is proxied to a remote peer and translated to HTTP/1.1. This is a followup of GHSA-wm47-8v5p-wjpj/CVE-2021-21295 which did miss to fix this one case. This was fixed as part of 4.1.61.Final.
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Produtos afetados
netty · netty
CVEs relacionadas — netty

No mesmo produto, das mais perigosas para as menos.

CVE-2021-43797MEDIUMHTTP fails to validate against control chars in header names which may lead to HTTP request smugglingEPSS 2.9%CVE-2023-34462MEDIUMnetty-handler SniHandler 16MB allocationEPSS 2.5%CVE-2025-24970HIGHSslHandler doesn't correctly validate packets which can lead to native crash when using native SSLEngineEPSS 2.2%CVE-2021-21290MEDIUMLocal Information Disclosure Vulnerability in Netty on Unix-Like systems due temporary filesEPSS 1.8%CVE-2022-41881MEDIUMCVE-2022-41881EPSS 1.6%CVE-2025-59419MEDIUMNetty netty-codec-smtp SMTP Command Injection Vulnerability Allowing Email ForgeryEPSS 1.6%