CVE-2021-41973

Una solicitud HTTP malformada hace que el decodificador de encabezados HTTP de Apache MINA entre en un bucle infinito. El decodificador asume erróneamente que el encabezado comienza al inicio del búfer y da vueltas cuando hay más datos de los esperados, de modo que una sola solicitud manipulada deja un hilo atrapado en un bucle infinito. El impacto es puramente de disponibilidad —sin divulgación de datos, sin ejecución de código—, pero es una denegación de servicio no autenticada y activable de forma remota contra cualquier cosa construida sobre la capa HTTP vulnerable de MINA.

La razón por la que esto merece atención a pesar de ser "solo" una DoS es la amplificación y el radio de impacto: MINA es una biblioteca de red embebida, y este CVE se ramifica en una larga lista de productos bancarios y de comunicaciones de Oracle que se construyen sobre ella. Una sola solicitud malformada que amarre los hilos de procesamiento de solicitudes puede degradar o colgar un servicio que se sitúa frente a flujos de trabajo financieros de alto valor. Necesita interacción del usuario según el vector y produce un impacto únicamente en la disponibilidad, así que no es una brecha, pero para sistemas donde el tiempo de actividad es el producto, un cuelgue remoto barato es una amenaza operativa real.

Nuestro manejo es el inventario del grafo de dependencias, porque la exposición es heredada, no directa. Los activos afectados son los productos de Oracle que incluyen MINA, así que la tarea es mapear cuáles de esos ejecutamos y llevarlos a builds que incorporen MINA 2.1.5 o superior. Lo clasificamos según la exposición a internet de esos front-ends —un servicio accesible externamente es un objetivo blando de DoS y sube—, señalando que la corrección depende en última instancia de que el producto upstream adopte la biblioteca parcheada.