第 5 章 修复的问题

ENTMQST-2453

kafka-exporter pod 不会因任何原因重启。

ENTMQST-2459

运行 Kafka Exporter 会导致 CPU 使用率高。

ENTMQST-2511

微调健康检查，以在滚动更新期间停止 Kafka Exporter 重启。

ENTMQST-1529

如果有大型文件，文件源连接器将停止。

ENTMQST-3023

CVE-2021-34428 jetty-server: jetty: SessionListener 可以防止会话被破坏注销无效。

jetty-server 中发现了一个缺陷，如果从 SessionListener#sessionDestroyed（）方法抛出异常，则会话 ID 不会在会话 ID 管理器中无效。在具有集群会话和多个上下文的部署中，可能会导致会话无效，并且共享计算机应用被保留登录。来自此漏洞的最大威胁是数据保密性和完整性。

ENTMQST-2980

CVE-2021-28169 jetty-server: jetty: 对 ConcatServlet 和 WelcomeFilter 的请求可以访问 WEB-INF 目录中受保护的资源。

-

ENTMQST-2711

CVE-2021-21409 netty：通过内容长度标头请求调用.

Netty 中发现了一个漏洞。如果请求使用单个 Http2HeaderFrame 并将 endstream 设置为 true，则存在一个问题，即 content-length 标头不会被正确验证。如果请求代理到远程同级并转换为 HTTP/1.1，则会导致请求生效。这种漏洞的最大威胁是完整性。

ENTMQST-2663

CVE-2021-27568 json-smart：未发生异常可能会导致崩溃或信息泄露。

json-smart 中发现了一个漏洞。当异常从函数抛出但未被捕获时，使用库的程序可能会崩溃或公开敏感信息。来自此漏洞的最大威胁是数据机密和系统可用性。

在 OpenShift Container Platform(OCP)中，组成 OCP Metering 堆栈的 Hive/Presto/Hadoop 组件会提供存在安全漏洞的 json-smart 软件包版本。自 OCP 4.6 发布以来，Metering 产品已弃用 [1]，因此受影响的组件被标记为 wintfix。以后可能会解决这个问题。

[1] https://docs.openshift.com/container-platform/4.6/release_notes/ocp-4-6-release-notes.html#ocp-4-6-metering-operator-deprecated

ENTMQST-2647

CVE-2021-21295 netty：在 HTTP/2 中因为缺少验证而可能的请求。

在 4.1.60.Final 以前的 Netty(io.netty:netty-codec-http2)中，存在一个启用请求的漏洞。如果原始 HTTP/2 请求中存在 Content-Length 标头，则该字段不会因为已传播而被 Http2MultiplexHandler 验证。只要请求没有作为 HTTP/1.1 代理通过，这都是正常的。如果请求以 HTTP/2 流的形式传入，则通过Http 2StreamFrameToHttpObjectCodec 转换为 HTTP/1.1 域对象（ HttpRequest、Http Content 等），然后发送至子频道的管道并通过远程 peer(HTTP/1.1)进行代理，这可能会导致请求退出。

ENTMQST-2617

CVE-2021-21290 netty：通过本地系统临时目录披露信息。

在 Netty 中，类似 Unix 的系统中存在一个涉及不安全临时文件的漏洞。当使用 netty 的多部分解码器时，如果启用了在磁盘上临时存储上传，则可以通过本地系统临时目录进行本地信息披露。在与 unix 类似的系统上，临时目录在所有用户之间共享。因此，使用未明确设置文件/目录权限的 API 写入该目录可能会导致信息泄露。

ENTMQST-2613

CVE-2020-13949 libthrift：处理不受信任的载荷时潜在的 DoS。

libthrift 中发现了一个漏洞。使用 Thrift 的应用不会在接收消息时显示错误，声明大小大于载荷的容器。这导致恶意的 RPC 客户端能够发送短消息，进而导致大量内存分配，从而可能拒绝服务。此漏洞的最大威胁在于系统可用性。

ENTMQST-1934

CVE-2020-9488 log4j：对 SMTP 附加程序中主机不匹配的证书验证不正确。

-

ENTMQST-2910

CVE-2021-28163 jetty-server: jetty: Symlink 目录公开 webapp 目录内容。

如果 ${jetty.base} 目录或 ${jetty.base}/webapps 目录是符号链接，则 ${jetty.base}/webapps 目录的内容可以部署为静态 Web 应用，公开要下载的目录内容。来自此漏洞的最大威胁是数据机密性。

ENTMQST-2909

CVE-2021-28164 jetty-server：jetty：嵌入式路径可以访问 WEB-INF。

在 Jetty 中，默认合规模式允许带有包含 %2e 或 %2e %2e 片段 的 URI 的请求，以访问 WEB-INF 目录中受保护的资源。攻击者可以利用此漏洞来披露有关 Web 应用实施的敏感信息。

ENTMQST-2908

CVE-2021-28165 jetty-server: jetty: 在接收无效大型 TLS 帧时资源耗尽。

当在 Jetty 中使用 SSL/TLS 时（ HTTP/1.1、HTTP/2 或 WebSocket），服务器可能会收到一个无效的大（大于 17408） TLS 帧，该帧被错误处理，从而导致 CPU 资源利用率高。此漏洞的最大威胁在于服务可用性。

ENTMQST-2867

CVE-2021-29425 commons-io：apache-commons-io：Apache Commons IO 2.2 到 2.6 中的有限路径遍历.

-

ENTMQST-2821

CVE-2021-28168 jersey-common：jersey：本地信息通过系统临时目录披露。

-