PT-2021-20905 · Drogon · Drogon

Publicado 2021-08-04 · Atualizado 2021-08-11 · CVE-2021-35397

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

**Nome do software vulnerável e versões afetadas:

Drogon, versões 1.0.0-beta14 a 1.6.0

Descrição:

Uma falha de traversal de caminho no roteador estático pode permitir que um invasor remoto não autenticado leia arquivos arbitrariamente devido à falta de validação adequada da entrada para o caminho solicitado. Um invasor poderia explorar essa vulnerabilidade enviando solicitações HTTP maliciosas com caminhos específicos para ler arquivos que deveriam estar restritos.

Recomendações:

Para as versões do Drogon 1.0.0-beta14 a 1.6.0, considere restringir o acesso ao roteador estático até que uma correção esteja disponível. Como solução temporária, evite usar o roteador estático para arquivos confidenciais. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-35397

Produtos afetados

Drogon

Referências · 8

• 🔥 https://github.com/an-tao/drogon/blob/834e3eabdd0441ad2bc80c02e8bbfc3b8312c213/lib/src/StaticFileRouter.cc#L62-L67 · Exploit
• https://github.com/an-tao/drogon/wiki/ENG-03-Quick-Start#Static-Site · Nota
• https://github.com/an-tao/drogon · Nota
• https://github.com/an-tao/drogon/wiki/ENG-02-Installation · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-35397 · Nota de Segurança
• https://t.me/cibsecurity/26791 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-35397 · Aviso do Fabricante
• https://t.me/cvenotify/18612 · Publicação no Telegram