CVE-2024-1135
Açıklama
Gunicorn, Transfer-Encoding başlıklarını düzgün şekilde doğrulamadığı için HTTP Request Smuggling (HRS) zafiyetlerine yol açmaktadır. Saldırganlar, çelişen Transfer-Encoding başlıklarına sahip istekler oluşturarak güvenlik kısıtlamalarını atlayabilir ve kısıtlanmış uç noktalara erişebilirler. Bu sorun, Gunicorn'un birden fazla ve çelişen Transfer-Encoding başlığı içeren istekleri, belirtilen son kodlama ne olursa olsun parçalı (chunked) olarak işlemesinden kaynaklanmaktadır. Bu zafiyet; önbellek zehirlemesi, oturum manipülasyonu ve veri ifşası dahil olmak üzere bir dizi saldırıya olanak tanımaktadır.
Nasıl düzeltilir
- gunicorn22.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gunicornPyPI | v < 22.0.0 | 22.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.