CVE-2023-32681
Açıklama
Requests bir HTTP kütüphanesidir. Requests 2.3.0 sürümünden beri, bir HTTPS uç noktasına yönlendirildiğinde hedef sunuculara Proxy-Authorization başlıklarını sızdırmaktadır. Bu durum, `Proxy-Authorization` başlığını isteklere yeniden eklemek için `rebuild_proxies` fonksiyonunun kullanılma biçiminden kaynaklanmaktadır. Tünel üzerinden gönderilen HTTP bağlantıları için proxy, başlıgı isteğin kendisinde tanımlayacak ve hedef sunucuya iletmeden önce kaldıracaktır. Ancak HTTPS üzerinden gönderildiğinde, proxynin tünellenmiş istek üzerinde görünürlüğü olmadığı için `Proxy-Authorization` başlığı CONNECT isteğinde gönderilmelidir. Bu durum, Requests'in proxy kimlik bilgilerini istemeden hedef sunucuya iletmesine neden olarak kötü niyetli bir aktörün potansiyel olarak hassas bilgileri sızdırmasına olanak tanır. Bu sorun 2.31.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- python requests2.31.0 ya da sonraki bir sürüm
- requests2.31.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| python requests | 2.3.0 ≤ v < 2.31.0 | 2.31.0 |
| fedoraproject fedora | 37 | — |
| requestsPyPI | 2.3.0 ≤ v < 2.31.0 | 2.31.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.