CVE-2024-24762
Təsvir
`python-multipart` Python üçün axınlı (streaming) multipart analizatorudur. Form məlumatlarından istifadə edərkən `python-multipart`, seçimlər də daxil olmaqla, HTTP `Content-Type` başlığını analiz etmək üçün Müntəzəm İfadələrdən (Regular Expression) istifadə edir. Hücumçu, RegEx tərəfindən emal edilməsi çox çətin olan xüsusi hazırlanmış `Content-Type` seçimi göndərərək CPU resurslarını tükədə və əsas hadisələr dövrünü (event loop) saxlayaraq müddətsiz (dəqiqələr və ya daha çox) dayanmaya səbəb ola bilər. Bu o deməkdir ki, proses artıq heç bir sorğunu emal edə bilmir, bu da müntəzəm ifadə xidmətdən imtina (ReDoS) zəifliyinə gətirib çıxarır. Bu zəiflik 0.0.7 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- fastapiexpert python-multipart0.0.7 və ya daha yeni versiya
- python-multipart0.0.7 və ya daha yeni versiya
- fastapi0.109.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| fastapiexpert python-multipart | v < 0.0.7 | 0.0.7 |
| python-multipartPyPI | v < 0.0.7 | 0.0.7 |
| fastapiPyPI | v < 0.109.1 | 0.109.1 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.