CVE-2020-7694
Açıklama
Bu durum uvicorn paketinin tüm versiyonlarını etkilemektedir. Paket tarafından sağlanan istek günlüğü kaydedicisi, ANSI kaçış dizisi enjeksiyonuna karşı savunmasızdır. Herhangi bir HTTP isteği alındığında, uvicorn'un varsayılan davranışı, detayları konsola veya bir günlük dosyasına kaydetmektir. Saldırganlar yüzdeyle kodlanmış (percent-encoded) kaçış dizileri içeren özel olarak hazırlanmış URL'ler talep ettiğinde, günlükleme bileşeni URL'yi urllib.parse.unquote ile işlendikten sonra kaydeder; bu nedenle yüzdeyle kodlanmış karakterleri, terminal emülatörlerinde özel anlamı olabilen tek karakterli karşılıklarına dönüştürür. Özel yollara sahip URL'ler talep ederek saldırganlar şunları yapabilir: * uvicorn erişim günlüklerini kirleterek bu dosyaların bütünlüğünü tehlikeye atmak. * Günlükleri görüntüleyen terminal emülatörüyle (gerçek zamanlı olarak veya bir dosyadan) etkileşime girmeye çalışmak için ANSI dizi kodlarını kullanmak.
Nasıl düzeltilir
- uvicorn0.11.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| encode uvicorn | Aralık belirtilmemiş | — |
| uvicornPyPI | v < 0.11.7 | 0.11.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.