CVE-2024-47874

Starlette, bir Asynchronous Server Gateway Interface (ASGI) çerçevesidir/araç setidir. Versiyon 0.40.0 öncesinde Starlette, `filename` parametresi olmayan `multipart/form-data` bölümlerini metin form alanları olarak değerlendirir ve bunları herhangi bir boyut sınırı olmaksızın bayt dizelerinde tamponlar. Bu durum, bir saldırganın keyfi büyüklükte form alanları yüklemesine ve aşırı bellek tahsisleri ile kopyalama işlemleri nedeniyle Starlette'in önemli ölçüde yavaşlamasına; ayrıca sunucu takaslama yapmaya başlayıp durana veya işletim sistemi sunucu sürecini bir OOM hatasıyla sonlandırana kadar giderek daha fazla bellek tüketmesine neden olur. Starlette önündeki bir ters proxy tarafından makul istek boyutu sınırları uygulansa bile, bu tür birden fazla isteğin paralel olarak yüklenmesi hizmeti pratik olarak kullanılamaz hale getirmek için yeterli olabilir. Bu Hizmet Reddi (DoS) zafiyeti, form isteklerini kabul eden tüm Starlette (veya FastAPI) tabanlı uygulamaları etkilemektedir. Versiyon 0.40.0 bu sorunu düzeltmektedir.