CVE-2020-5236
Açıklama
Waitress versiyon 1.4.2, geçersiz karakterler içeren bir başlık aldığında bir DOS saldırısına izin verir. "Bad-header: xxxxxxxxxxxxxxx\x10" gibi bir başlık alındığında, bu durum düzenli ifade motorunun katastrofik geri izleme (catastrophic backtracking) yapmasına neden olarak işlemin %100 CPU zamanı kullanmasına ve diğer tüm etkileşimlerin engellenmesine yol açar. Bu durum, bir saldırganın geçersiz bir başlığa sahip tek bir istek göndererek servisi çevrimdışı hale getirmesine olanak tanır. Bu sorun, düzenli ifadenin RFC7230 ile ilişkili düzeltmelerin gerektirdiği davranışı karşılamak üzere güncellendiği 1.4.2 versiyonunda ortaya çıkmıştır. Gelen başlıkları doğrulamak için kullanılan düzenli ifade 1.4.3 versiyonunda güncellenmiştir; kullanıcıların mümkün olan en kısa sürede yeni Waitress versiyonuna yükseltme yapmaları önerilir.
Nasıl düzeltilir
- waitress1.4.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| agendaless waitress | 1.4.2 | — |
| waitressPyPI | 1.4.2 ≤ v < 1.4.3, v < 1.4.3 | 1.4.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.