PT-2021-23660 · Lightbend · Akka Http

Simone Quatrini · Publicado 2021-11-02 · Atualizado 2022-06-13 · CVE-2021-42697

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Akka HTTP, versões 10.1.x a 10.1.14

Akka HTTP, versões 10.2.x a 10.2.6

Descrição

A vulnerabilidade permite que um invasor remoto realize um ataque de negação de serviço (DoS) enviando um cabeçalho User-Agent com comentários profundamente aninhados, causando esgotamento da pilha durante a análise dos cabeçalhos HTTP.

Recomendações

Para as versões do Akka HTTP 10.1.x a 10.1.14, atualize para a versão 10.1.15 ou posterior.

Para as versões do Akka HTTP 10.2.x a 10.2.6, atualize para a versão 10.2.7 ou posterior.

Exploit

Correção

Uncontrolled Recursion

Memory Corruption

Enumeração de Fraquezas

CWE-674

CWE-787

Identificadores relacionados

CVE-2021-42697

GHSA-3HW2-H67C-WQ66

Produtos afetados

Akka Http

Referências · 14

• 🔥 https://exploit-db.com/exploits/50892 · Exploit
• 🔥 http://packetstormsecurity.com/files/167018/Akka-HTTP-10.1.14-Denial-Of-Service.html · Exploit
• https://github.com/akka/akka-http/pull/3924 · Nota
• https://github.com/akka/akka-http · Nota
• https://akka.io/blog · Aviso do Fabricante
• https://akka.io/blog/news/2021/11/02/akka-http-10.2.7-released · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3hw2-h67c-wq66 · Aviso do Fabricante
• https://t.me/cvenotify/29061 · Publicação no Telegram
• https://akka.io/blog/news/2021/11/22/akka-http-10.1.15-released · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-42697 · Nota de Segurança
• https://doc.akka.io/docs/akka-http/current/security/2021-CVE-2021-42697-stack-overflow-parsing-user-agent.html · Aviso do Fabricante
• https://t.me/cibsecurity/31672 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-42697 · Aviso do Fabricante
• https://t.me/cvenotify/22904 · Publicação no Telegram