CVE-2022-24761

Waitress, Python 2 ve 3 için bir Web Server Gateway Interface sunucusudur. Gelen HTTP isteğinin RFC7230 standardına uygunluğunu düzgün şekilde doğrulamayan bir proxy arkasında Waitress 2.1.0 ve önceki sürümler kullanıldığında, Waitress ve ön uç proxy'si bir isteğin nerede başlayıp nerede bittiği konusunda farklılık gösterebilir. Bu durum, isteklerin ön uç proxy üzerinden waitress'e sızdırılmasına (request smuggling) ve sonrasında beklenmedik davranışlara yol açabilir. Bu bildirimle ele alınan ve istek sızdırmaya yol açabilecek iki tür güvenlik açığı bulunmaktadır: Dizeleri tam sayılara dönüştürmek için Python'un `int()` fonksiyonunun kullanılması sonucunda, standartların dizenin yalnızca rakamlar veya onaltılık rakamlar içermesi gerektiğini belirtmesine rağmen `+10` ifadesinin `10` olarak veya `0x01` ifadesinin `1` olarak ayrıştırılması; ve Waitress'in chunk uzantılarını desteklememesi ancak bunları geçersiz karakterler içermediklerini doğrulamadan göz ardı etmesi. Bu güvenlik açığı Waitress 2.1.1 sürümünde giderilmiştir. Bir geçici çözüm mevcuttur: Waitress önünde bir proxy konuşlandırırken, isteğin RFC7230 standardıyla eşleştiğinden emin olmak için mevcut tüm işlevleri etkinleştirin. Ancak bazı proxy sunucularında bu işlev bulunmayabilir ve kullanıcıların bunun yerine waitress'in en güncel sürümüne yükseltme yapmaları önerilir.