CVE-2024-47874

Starlette Asinxron Server Şlüz İnterfeysi (ASGI) freymvorku/alətlər dəstidir. Versiya 0.40.0-dan əvvəl Starlette `filename` parametri olmayan `multipart/form-data` hissələrini mətn formasında sahələr kimi qəbul edir və onları ölçü limiti olmadan bayt sətirləri şəklində buferləyir. Bu, hücumçunun ixtiyari dərəcədə böyük forma sahələri yükləməsinə və həddindən artıq yaddaş ayrılmaları və kopyalama əməliyyatları səbəbindən Starlette-in əhəmiyyətli dərəcədə yavaşlamasına, həmçinin server swap etməyə başlayıb dayanana və ya ƏMƏK tərəfindən OOM xətası ilə server prosesi sonlandırılana qədər getdikcə daha çox yaddaş istehlak etməsinə şərait yaradır. Belə sorğuların paralel şəkildə çox sayda göndərilməsi, Starlette qarşısında olan reverse proxy tərəfindən ağlabatan sorğu ölçüsü limitləri tətbiq edilsə belə, xidmətin praktiki olaraq istifadəsiz hala gəlməsi üçün kifayət edə bilər. Bu Xidmətdən imtina (DoS) zəifliyi, forma sorğularını qəbul edən bütün Starlette (və ya FastAPI) əsaslı tətbiqlərə təsir edir. Versiya 0.40.0 bu problemi aradan qaldırır.