CVE-2022-24823

一、漏洞信息
 漏洞编号：[CVE-2022-24823](https://nvd.nist.gov/vuln/detail/CVE-2022-24823)
 漏洞归属组件：[netty](https://gitee.com/src-openeuler/netty)
 漏洞归属的版本：3.6.2.Final,4.1.13
 CVSS V3.0分值：
  BaseScore：5.5 Medium
  Vector：CVSS：3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
 漏洞简述：
  Netty is an open-source, asynchronous event-driven network application framework. The package `io.netty:netty-codec-http` prior to version 4.1.77.Final contains an insufficient fix for CVE-2021-21290. When Netty s multipart decoders are used local information disclosure can occur via the local system temporary directory if temporary storing uploads on the disk is enabled. This only impacts applications running on Java version 6 and lower. Additionally, this vulnerability impacts code running on Unix-like systems, and very old versions of Mac OSX and Windows as they all share the system temporary directory between all users. Version 4.1.77.Final contains a patch for this vulnerability. As a workaround, specify one s own `java.io.tmpdir` when starting the JVM or use DefaultHttpDataFactory.setBaseDir(...) to set the directory to something that is only readable by the current user.
 漏洞公开时间：2022-05-06 20:15
 漏洞创建时间：2022-05-06 12:37:25
 漏洞详情参考链接：
  https://nvd.nist.gov/vuln/detail/CVE-2022-24823
<details>
<summary>更多参考(点击展开)</summary>

无
</details>

漏洞分析指导链接：
  https://gitee.com/openeuler/cve-manager/blob/master/cve-vulner-manager/doc/md/manual.md
 漏洞数据来源:
  openBrain开源漏洞感知系统
 漏洞补丁信息：
  <details>
<summary>详情(点击展开)</summary>

无
</details>

二、漏洞分析结构反馈
 影响性分析说明：
  Netty是一个开源的、异步的事件驱动网络应用程序框架。在版本4.1.77.Final之前的io.netty:netty-codec-http包中，对于CVE-2021-21290的修复不够充分。当使用Netty的多部分解码器时，如果启用了在磁盘上临时存储上传，则可能通过本地系统临时目录发生本地信息泄露。这仅影响运行在Java版本6及以下的应用程序。此外，这个漏洞还影响在类Unix系统上运行的代码，以及非常旧的MacOSX和Windows版本，因为它们都在所有用户之间共享系统临时目录。4.1.77.Final版本包含了这个漏洞的补丁。作为解决方案，在启动JVM时指定自己的java.io.tmpdir，或者使用DefaultHttpDataFactory.setBaseDir(...)将目录设置为仅当前用户可读的目录。
 openEuler评分：
  5.5
 Vector：CVSS：3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
 受影响版本排查(受影响/不受影响)：
  1.openEuler-20.03-LTS-SP4(4.1.13):受影响
2.openEuler-22.03-LTS-SP3(4.1.13):受影响
3.openEuler-22.03-LTS-SP4(4.1.13):受影响
4.openEuler-24.03-LTS(4.1.13):受影响
5.openEuler-24.03-LTS-Next(4.1.13):受影响
6.openEuler-24.03-LTS-SP1(4.1.13):受影响
7.openEuler-24.03-LTS-SP2(4.1.13):受影响
8.master(4.1.114):不受影响

修复是否涉及abi变化(是/否)：
  1.master(4.1.114):否
2.openEuler-20.03-LTS-SP4(4.1.13):否
3.openEuler-22.03-LTS-SP3(4.1.13):否
4.openEuler-24.03-LTS(4.1.13):否
5.openEuler-24.03-LTS-Next(4.1.13):否
6.openEuler-22.03-LTS-SP4(4.1.13):否
7.openEuler-24.03-LTS-SP1(4.1.13):否
8.openEuler-24.03-LTS-SP2(4.1.13):否

原因说明：
  1.openEuler-20.03-LTS-SP4(4.1.13):正常修复
2.openEuler-22.03-LTS-SP3(4.1.13):正常修复
3.openEuler-24.03-LTS(4.1.13):正常修复
4.openEuler-24.03-LTS-Next(4.1.13):正常修复
5.openEuler-22.03-LTS-SP4(4.1.13):正常修复
6.openEuler-24.03-LTS-SP1(4.1.13):正常修复
7.openEuler-24.03-LTS-SP2(4.1.13):正常修复
8.master(4.1.114):不受影响-漏洞代码不存在

三、漏洞修复
安全公告链接：https://www.openeuler.org/zh/security/safety-bulletin/detail/?id=openEuler-SA-2025-2286

src-openEuler/netty
Closed

Content Risk Flag

Comments (11)

src-openEuler/nettyClosed .gitee-modal { width: 500px !important; }

Content Risk Flag

CVE-2022-24823

Comments (11)

Search

src-openEuler/netty
Closed