领先一步
VMware 提供培训和认证，以加速您的进步。
了解更多CVE-2023-34054：Reactor Netty HTTP 服务器指标 DoS 漏洞
描述
在 Reactor Netty HTTP 服务器中，1.1.x 版本早于 1.1.13 以及 1.0.x 版本早于 1.0.39，用户可以提供特制的 HTTP 请求，这可能会导致拒绝服务 (DoS) 情况。
具体来说，如果启用了 Reactor Netty HTTP 服务器与 Micrometer 的内置集成，则应用程序容易受到攻击。
受影响的 Spring 产品和版本
- Reactor Netty
- 1.1.0 到 1.1.12
- 1.0.0 到 1.0.38
- 以及更早的不受支持版本
缓解措施
受影响版本的用户应应用以下缓解措施。 1.1.x 用户应升级到 1.1.13。 1.0.x 用户应升级到 1.0.39。无需其他步骤。
已修复此问题的版本包括
- Reactor Netty
- 1.1.13
- 1.0.39
作为临时解决方法，Reactor Netty 1.1.x 和 1.0.x 用户可以选择禁用 Reactor Netty HTTP 服务器与 Micrometer 的内置集成。
鸣谢
此问题由 James Yuzawa（https://github.com/yuzawa-san）发现并负责任地报告。
参考
报告漏洞
要报告 Spring 产品组合中项目的安全漏洞，请参阅安全策略