CVE-2021-41973

Uma requisição HTTP malformada faz o decodificador de cabeçalhos HTTP do Apache MINA entrar em laço para sempre. O decodificador supõe erroneamente que o cabeçalho começa no início do buffer e gira quando há mais dados do que o esperado, de modo que uma única requisição maliciosa prende uma thread em um laço infinito. O impacto é puramente de disponibilidade — sem divulgação de dados, sem execução de código —, mas é uma negação de serviço não autenticada e disparável remotamente contra qualquer coisa construída sobre a camada HTTP vulnerável do MINA.

A razão pela qual isto merece atenção apesar de ser "apenas" um DoS é a amplificação e o raio de impacto: o MINA é uma biblioteca de rede embarcada, e este CVE se espalha por uma longa lista de produtos bancários e de comunicações da Oracle que se constroem sobre ele. Uma requisição malformada ocupando as threads de processamento de requisições pode degradar ou travar um serviço que fica à frente de fluxos financeiros de alto valor. Ele exige interação do usuário conforme o vetor e produz impacto somente de disponibilidade, então não é uma invasão, mas, para sistemas em que o tempo de atividade é o produto, um travamento remoto barato é uma ameaça operacional real.

Nosso tratamento é o inventário do grafo de dependências, porque a exposição é herdada, não direta. Os ativos afetados são os produtos Oracle que incorporam o MINA, então a tarefa é mapear quais deles executamos e colocá-los em builds que incorporem o MINA 2.1.5 ou superior. Nós o classificamos pela exposição à internet desses front-ends — um serviço acessível externamente é um alvo fácil de DoS e sobe na fila —, observando que a correção depende, em última instância, de o produto upstream adotar a biblioteca corrigida.