PT-2021-23758 · Nlnet+1 · Routinator+1
Koen Van Der Hove
·
Publicado
2021-11-09
·
Atualizado
2022-08-09
·
CVE-2021-43173
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do NLnet Labs Routinator anteriores à 0.10.2
Descrição
Uma execução de validação pode ser significativamente atrasada por um repositório RRDP que, em vez de responder, envia bytes lentamente para manter a conexão ativa. Isso pode ser usado para efetivamente atrasar a validação. Embora o Routinator tenha um valor de tempo limite configurável para conexões RRDP, esse tempo limite era aplicado apenas a operações individuais de leitura ou gravação, e não à solicitação completa. Assim, se um repositório RRDP enviar uma pequena quantidade de dados antes que esse tempo limite expire, ele pode prolongar continuamente o tempo necessário para que a solicitação seja concluída. Como a validação só continuará após a conclusão da atualização de um repositório RRDP, esse atraso fará com que a validação seja interrompida, levando o Routinator a continuar servindo o conjunto de dados antigo ou, se estiver na execução de validação inicial logo após o início, a nunca servir nenhum dado.
Recomendações
Para versões do NLnet Labs Routinator anteriores à 0.10.2, atualize para a versão 0.10.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere ajustar o valor configurável de tempo limite para conexões RRDP para um valor menor, a fim de minimizar o risco de paralisação da validação. Além disso, restrinja o acesso a repositórios RRDP que possam ser usados para explorar essa vulnerabilidade até que a atualização seja aplicada.
Correção
Improper Handling of Exceptional Conditions
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Debian
Routinator