CVE-2024-49768
Açıklama
Waitress, Python 2 ve 3 için bir Web Server Gateway Interface sunucusudur. Uzak bir istemci, tam olarak recv_bytes (varsayılan 8192) uzunluğunda bir istek gönderip ardından HTTP pipelining kullanarak ikincil bir istek gönderebilir. İstek ön bakışı (request lookahead) devre dışı olduğunda (varsayılan), daha fazla istek okunmaz ve ilk istek bir ayrıştırma hatası nedeniyle başarısız olduğunda bağlantı kapatılır. Ancak, istek ön bakışı etkinleştirildiğinde; ilk isteğin işlenmesi ve alınması, bir sonraki istek okunup kuyruğa eklenirken hata mesajının istemciye geri gönderilmeye başlanması mümkündür. Bu durum, bağlantının kapatılması gerekirken ikincil isteğin çalışan iş parçacığı (worker thread) tarafından servis edilmesine olanak tanır. Waitress 3.0.1 bu yarış durumunu (race condition) düzeltir. Geçici çözüm olarak, varsayılan olarak 0 şeklinde ayarlanmış olan ve bu özelliği devre dışı bırakan channel_request_lookahead seçeneğini kapalı tutun.
Nasıl düzeltilir
- agendaless waitress3.0.1 ya da sonraki bir sürüm
- waitress3.0.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| agendaless waitress | 2.0.0 ≤ v < 3.0.1 | 3.0.1 |
| waitressPyPI | 2.0.0 ≤ v < 3.0.1 | 3.0.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.