描述

Reactor Netty 0.8.x 版本（低于 0.8.13）和 0.9.x 版本（低于 0.9.1）依赖于存在漏洞的 Netty 版本（低于 4.1.42 版本）。这些 Netty 版本错误地处理了标题中冒号之前的空格，从而导致 HTTP 请求走私攻击。

参考资料

• https://pivotal.io/security/cve-2019-16869
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=cve-2019-16869

历史记录

2019-10-28：发布初始漏洞报告。