PT-2021-19969 · Unknown · Flask-Restx

Kevin Backhouse · Publicado 2021-09-08 · Atualizado 2021-10-13 · CVE-2021-32838

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

Versões do Flask-RESTX anteriores à 0.5.1

Descrição

O problema está relacionado a uma vulnerabilidade de negação de serviço por expressão regular (ReDoS) no email regex do Flask-RESTX. Essa vulnerabilidade pode ser explorada, levando potencialmente a uma negação de serviço.

Recomendações

Para versões anteriores à 0.5.1, atualize para a versão 0.5.1 para resolver o problema. Como solução temporária, considere restringir o uso do email regex até que um patch esteja disponível.

Correção

DoS

Resource Exhaustion

Enumeração de Fraquezas

CWE-1333

CWE-400

Identificadores relacionados

CVE-2021-32838

GHSA-3Q6G-VF58-7M4G

MGASA-2021-0473

PYSEC-2021-325

Produtos afetados

Flask-Restx

Referências · 22

• https://github.com/python-restx/flask-restx/commit/bab31e085f355dd73858fd3715f7ed71849656da · Correção
• https://github.com/python-restx/flask-restx/issues/372 · Correção
• https://github.com/python-restx/flask-restx/blob/fd99fe11a88531f5f3441a278f7020589f9d2cc0/flask_restx/inputs.py#L51 · Correção
• https://github.com/python-restx/flask-restx · Nota
• https://github.com/python-restx/flask-restx/security/advisories/GHSA-3q6g-vf58-7m4g · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/flask-restx/PYSEC-2021-325.yaml · Nota
• https://pypi.org/project/flask-restx · Nota
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/5UCTFVDU3677B5OBGK4EF5NMUPJLL6SQ · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QUD6SWZLX52AAZUHDETJ2CDMQGEPGFL3 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32838 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3q6g-vf58-7m4g · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/[e-mail]/thread/QUD6SWZLX52AAZUHDETJ2CDMQGEPGFL3 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2021-325 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32838 · Aviso do Fabricante
• https://osv.dev/vulnerability/MGASA-2021-0473 · Aviso do Fabricante