PT-2020-10770 · Cherokee · Cherokee

Mateusz Kocielski + 1 · Publicado 2020-05-17 · Atualizado 2022-11-21 · CVE-2019-20800

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões 1.2.104 e anteriores do Cherokee

Descrição

A vulnerabilidade permite que invasores remotos provoquem uma gravação fora dos limites em cherokee handler cgi add env pair em handler cgi.c enviando muitos cabeçalhos de solicitação, conforme demonstrado por uma solicitação GET com muitos cabeçalhos “Host: 127.0.0.1”.

Recomendações

Para as versões 1.2.104 e anteriores do Cherokee, como solução temporária, considere restringir o número de cabeçalhos de solicitação permitidos para impedir a exploração até que um patch esteja disponível.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Memory Corruption

Enumeração de Fraquezas

CWE-787

Identificadores relacionados

CVE-2019-20800

Produtos afetados

Cherokee

Referências · 8

• 🔥 https://github.com/cherokee/webserver/issues/1224 · Exploit
• 🔥 https://logicaltrust.net/blog/2019/11/cherokee.html · Exploit
• https://t.me/cibsecurity/12126 · Publicação no Telegram
• https://security.gentoo.org/glsa/202012-09 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-20800 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2019-20800 · Aviso do Fabricante
• https://t.me/cvenotify/3868 · Publicação no Telegram
• https://t.me/cvenotify/7668 · Publicação no Telegram