Alta

Path Traversal in com.linecorp.armeria:armeria

Publicada: 02.12.2021
Actualizado: 11.10.2026 12:22

Impact

An attacker can access an Armeria server's local file system beyond its restricted directory by sending an HTTP request whose path contains %2F (encoded /), such as /files/..%2Fsecrets.txt, bypassing Armeria's path validation logic.

Patches

Armeria 1.13.4 or above contains the hardened path validation logic that handles %2F properly.

Workarounds

This vulnerability can be worked around by inserting a decorator that performs an additional validation on the request path, e.g.

java

Server
  .builder()
  .serviceUnder(
    "/files",
    FileService
      .of(...)
      .decorate((delegate, ctx, req) -> {
        String path = req.headers().path();
        if (path.contains("%2f") || path.contains("%2F")) {
          return HttpResponse.of(HttpStatus.BAD_REQUEST);
        }
        return delegate.serve(ctx, req);
      })
  )
  .build()

For more information

If you have any questions or comments about this advisory:

Open an issue in line/armeria
Chat with us at Slack

Credits

This vulnerability was originally reported by Abdallah Zaher (elcayser-0x0a).

Software afectado

Haz clic en una tecnología para ver todas sus vulnerabilidades.

Plataforma	Paquete	Versiones vulnerables	Corregida en
Java / Kotlin (Maven)	com.linecorp.armeria:armeria	>= 1.12.0, < 1.13.4	1.13.4

Referencias

Puntuación CVSS 7.5/10

Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Debilidad (CWE): CWE-22
Plataforma: Java / Kotlin (Maven)
Paquete: com.linecorp.armeria:armeria
Publicada: 02.12.2021
Actualizado: 11.10.2026 12:22

Fuentes y licencias

OSV / GitHub Advisory Database - GHSA-8fp4-rp6c-5gcv - CC BY 4.0

Historial de vulnerabilidades: com.linecorp.armeria:armeria

Todas las vulnerabilidades publicadas de este paquete (Java / Kotlin (Maven)), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.

Entradas en total: 3
Primera → última: 12.2019 07.2023
Sin corrección: 0
Explotada en ataques: 0

Distribución por gravedad

Alta 2
Media 1

Divulgaciones por año

2019: 1
2020: 0
2021: 1
2022: 0
2023: 1
2024: 0
2025: 0
2026: 0

25.07.2023

Paths contain matrix variables bypass decorators

Alta · 7.5 CVE-2023-38493 < 1.24.3 1.24.3
02.12.2021

Path Traversal in com.linecorp.armeria:armeria esta entrada

Alta · 7.5 CVE-2021-43795 >= 1.12.0, < 1.13.4 1.13.4
05.12.2019

Improper Neutralization of CRLF Sequences in HTTP Headers ('HTTP Response Splitting') in Armeria

Media · 6.5 CVE-2019-16771 >= 0.85.0, < 0.97.0 0.97.0

Identifica las vulnerabilidades de tu aplicación

Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.

Conectar tu aplicación