CVE-2024-49767
Açıklama
Werkzeug bir Web Server Gateway Interface web uygulama kütüphanesidir. `multipart/form-data` isteklerini ayrıştırmak için Werkzeug'un 3.0.6 öncesindeki sürümlerine ait `werkzeug.formparser.MultiPartParser` bileşenini kullanan uygulamalar (örneğin tüm flask uygulamaları), nispeten basit ancak etkili bir kaynak tüketimi (hizmet reddi) saldırısına karşı savunmasızdır. Özel olarak hazırlanmış bir form gönderim isteği, ayrıştırıcının ana bellekte yükleme boyutunun 3 ila 8 katı kadar yer ayırmasına ve bloke etmesine neden olabilir. Herhangi bir üst sınır yoktur; 1 Gbit/s hızındaki tek bir yükleme, 60 saniyeden kısa sürede 32 GB RAM'i tüketebilir. Werkzeug sürüm 3.0.6 bu sorunu gidermektedir.
Nasıl düzeltilir
- palletsprojects werkzeug3.0.6 ya da sonraki bir sürüm
- palletsprojects quart0.19.7 ya da sonraki bir sürüm
- werkzeug3.0.6 ya da sonraki bir sürüm
- quart0.20.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| palletsprojects werkzeug | v < 3.0.6 | 3.0.6 |
| palletsprojects quart | v < 0.19.7 | 0.19.7 |
| werkzeugPyPI | 2.0.0rc1 ≤ v < 3.0.6 | 3.0.6 |
| quartPyPI | v < 0.20.0 | 0.20.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.