PT-2021-22442 · Http4S · Http4S

Rossabaker

·

Publicado

2021-09-01

·

Atualizado

2021-09-15

·

CVE-2021-39185

CVSS v3.1

9.1

Crítica

VetorAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Nome do software vulnerável e versões afetadas
Versões 0.21.26 e anteriores do http4s
Versões 0.22.0 a 0.22.2 do http4s
Versões 0.23.0 e 0.23.1 do http4s
Versões 1.0.0-M1 a 1.0.0-M24 do http4s
Descrição
A configuração padrão do CORS no http4s é vulnerável a um ataque de reflexão de origem e a um ataque de origem nula. Isso permite que um script malicioso exfiltre informações confidenciais utilizando as credenciais do usuário. O problema está relacionado ao fato de o sinalizador anyOrigin em CORSConfig estar definido como true por padrão, o que permite o compartilhamento de recursos independentemente da configuração allowedOrigins. Além disso, a configuração allowCredentials estar definida como true por padrão permite o compartilhamento de respostas que possam exigir credenciais para informações confidenciais com qualquer origem.
Recomendações
Para as versões 0.21.26 e anteriores, atualize para a versão 0.21.27 ou posterior.
Para as versões 0.22.0 a 0.22.2, atualize para a versão 0.22.3 ou posterior.
Para as versões 0.23.0 e 0.23.1, atualize para a versão 0.23.2 ou posterior.
Para as versões 1.0.0-M1 a 1.0.0-M24, atualize para a versão 1.0.0-M25 ou posterior.
Como solução alternativa temporária, considere definir anyOrigin como false e incluir especificamente origens confiáveis em allowedOrigins, ou desativar credenciais definindo allowCredentials como false.

Correção

Origin Validation Error

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2021-39185
GHSA-52CF-226F-RHR6

Produtos afetados

Http4S