Netty相关CVE是否适用于Reactor Netty？版本适配咨询

1. Netty CVE是否适用于Reactor Netty？ #

Reactor Netty是基于Netty构建的反应式HTTP客户端/服务器框架，仅当它依赖的Netty版本包含CVE对应的漏洞代码时，该CVE才会适用。若Reactor Netty绑定的Netty版本已修复此漏洞，则不存在风险。

CVE-2019-20445针对的是Netty 4.1.44及更早版本，修复版本为Netty 4.1.45.Final。因此核心判断标准是Reactor Netty v1.0.23所依赖的Netty版本是否低于这个修复版本。

2. 验证Reactor Netty v1.0.23绑定的Netty版本 #

你可以通过以下方式确认具体版本：

• 查看项目依赖树：Maven项目执行 mvn dependency:tree | grep netty，Gradle项目执行 gradle dependencies | grep netty，直接从输出中获取Netty核心组件的版本号。
• 官方版本对应关系：Reactor Netty 1.0.x为稳定分支，v1.0.23发布于2022年9月，根据官方维护记录，它绑定的Netty版本为4.1.82.Final——该版本远高于修复CVE的4.1.45.Final，因此不存在CVE-2019-20445对应的漏洞代码。

3. 证明误报的方法 #

• 提交依赖版本证据：将依赖树中Netty 4.1.82.Final的输出文本或截图提供给安全工具厂商，明确说明Reactor Netty未使用受影响的Netty版本。
• 漏洞代码对比：CVE-2019-20445涉及Netty DefaultHttpHeaders类的内存泄漏问题，你可以对比Reactor Netty依赖的Netty 4.1.82版本中该类的实现，确认已包含修复逻辑（例如修复了重复添加头部导致的内存泄漏）。
• 场景排除：即使存在代码共享情况，该CVE的触发需要特定的HTTP头部处理路径，若Reactor Netty未复用该受影响的代码逻辑，也可说明漏洞不适用。

结论 #

Reactor Netty v1.0.23依赖的Netty版本已修复CVE-2019-20445，安全工具的标记属于误报。你可以通过上述方法向工具厂商反馈并纠正该标记。

内容的提问来源于stack exchange，提问作者topstair