原文

Nettyは、プロトコルサーバーおよびクライアントの開発のためのネットワークアプリケーションフレームワークです。バージョン4.2.0.Finalから4.2.15.Finalおよび4.1.0.Finalから4.1.135.Finalにおいて、オリジン評価プロセス中にセキュリティ制御が回避される脆弱性があります。CorsHandlerは、リクエストがアプリケーションに到達する前に不正なクロスオリジンリクエストを即座に拒否することを目的としてshortCircuit()設定を提供しています。しかし、オリジン評価プロセスにおける論理演算子の誤りにより、この保護機構が完全に回避される可能性があります。攻撃者はOrigin: nullヘッダーを付与したリクエストを送信することでshort-circuitメカニズムを回避できます。この問題のために、不正なリクエストがアクセス制御を回避してバックエンドアプリケーションに転送されてしまいます。この問題はバージョン4.1.136.Finalおよび4.2.16.Finalで修正されています。