PT-2021-19884 · Powermux · Powermux

Andrew Burian · Publicado 2021-06-29 · Atualizado 2022-01-11 · CVE-2021-32721

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.1

Média

Vetor base

AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do PowerMux anteriores à 1.1.1

Descrição

O PowerMux é um substituto direto para o http.ServeMux do Go. Os invasores podem criar links de phishing e outros redirecionamentos abertos explorando o recurso de redirecionamento por barra final. Isso pode levar os usuários a serem redirecionados para sites não confiáveis após seguirem um link criado pelo invasor. Você pode detectar tentativas de criar URLs que exploram esse recurso procurando por caminhos de solicitação que contenham pares de barras em sequência combinadas com uma barra final, por exemplo, https://example.com//foo/.

Recomendações

Para versões anteriores à 1.1.1, atualize para a versão 1.1.1 para resolver o problema. Como solução alternativa temporária, considere monitorar os caminhos de solicitação em busca de pares de barras consecutivas combinadas com uma barra final para detectar possíveis tentativas de exploração.

Correção

Open Redirect

Enumeração de Fraquezas

CWE-601

Identificadores relacionados

CVE-2021-32721

GHSA-MJ9R-WWM8-7Q52

GO-2021-0237

Produtos afetados

Powermux

Referências · 9

• https://github.com/AndrewBurian/powermux/security/advisories/GHSA-mj9r-wwm8-7q52 · Nota
• https://github.com/AndrewBurian/powermux/commit/5e60a8a0372b35a898796c2697c40e8daabed8e9 · Nota
• https://github.com/AndrewBurian/powermux/pull/42 · Nota
• https://osv.dev/vulnerability/GO-2021-0237 · Aviso do Fabricante
• https://t.me/cibsecurity/25799 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-32721 · Nota de Segurança
• https://t.me/cvenotify/17140 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-32721 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-mj9r-wwm8-7q52 · Aviso do Fabricante