CVE-2021-23336
Açıklama
python/cpython paketinin 0 ve 3.6.13 öncesi, 3.7.0 ve 3.7.10 öncesi, 3.8.0 ve 3.8.8 öncesi, 3.9.0 ve 3.9.2 öncesi sürümleri; parameter cloaking adı verilen bir vektör kullanılarak urllib.parse.parse_qsl ve urllib.parse.parse_qs üzerinden Web Cache Poisoning saldırılarına karşı savunmasızdır. Saldırgan sorgu parametrelerini noktalı virgül (;) kullanarak ayırabildiğinde, varsayılan yapılandırmayla çalışan proxy ile sunucu arasında isteğin yorumlanmasında fark yaratabilirler. Proxy genellikle noktalı virgülü bir ayırıcı olarak görmeyeceği ve bu nedenle bunu anahtarlanmamış bir parametrenin önbellek anahtarına dahil etmeyeceği için, bu durum kötü amaçlı isteklerin tamamen güvenliymiş gibi önbelleğe alınmasına neden olabilir.
Nasıl düzeltilir
- python python3.6.13, 3.7.10, 3.8.8, 3.9.2 ya da sonraki bir sürüm
- djangoproject django2.2.19, 3.0.13, 3.1.7 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HCQTCSP6SCVIYNIRUJC5X7YBVUHPLSC4/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NODWHDIFBQE5RU5PUWUVE47JOT5VCMJ2/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MP572OLHMS7MZO4KUPSCIMSZIA5IZZ62/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MNUN5SOMFL2BBKP6ZAICIIUPQKZDMGYO/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FONHJIOZOFD7CD35KZL6SVBUTMBPGZGA/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/KJXCMHLY7H3FIYLE4OKDYUILU2CCRUCZ/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3YKKDLXL3UEZ3J426C2XTBS63AHE46SM/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/TFTELUMWZE3KV3JB2H5EE6VFRZFRD5MV/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OAGSWNGZJ6HQ5ISA67SNMK3CJRKICET7/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NJSCSN722JO2E2AGPWD4NTGVELVRPB4R/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HZTM7KLHFCE3LWSEVO2NAFLUHMGYMCRY/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/3EPYWWFDV22CJ5AOH5VCE72DOASZZ255/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python python | v < 3.6.13, 3.7.0 ≤ v < 3.7.10, 3.8.0 ≤ v < 3.8.8, 3.9.0 ≤ v < 3.9.2 | 3.6.13, 3.7.10, 3.8.8, 3.9.2 |
| fedoraproject fedora | 32, 33, 34 | — |
| debian debian_linux | 9.0 | — |
| netapp cloud_backup | Aralık belirtilmemiş | — |
| netapp inventory_collect_tool | Aralık belirtilmemiş | — |
| netapp ontap_select_deploy_administration_utility | Aralık belirtilmemiş | — |
| netapp snapcenter | Aralık belirtilmemiş | — |
| djangoproject django | 2.2 ≤ v < 2.2.19, 3.0 ≤ v < 3.0.13, 3.1 ≤ v < 3.1.7 | 2.2.19, 3.0.13, 3.1.7 |
| oracle communications_offline_mediation_controller | 12.0.0.3.0 | — |
| oracle communications_pricing_design_center | 12.0.0.3.0 | — |
| oracle enterprise_manager_ops_center | 12.4.0.0 | — |
| oracle zfs_storage_appliance | 8.8 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.