PT-2021-24339 · Unknown+3 · Python-Ldap+3

Encukou · Publicado 2021-11-29 · Atualizado 2023-08-08 · CVE-2021-46823

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

**Nome do software vulnerável e versões afetadas:

Versões do python-ldap anteriores à 3.4.0

Descrição:

O problema está relacionado a uma falha de negação de serviço por expressão regular (ReDoS) no analisador de esquemas LDAP. Ao enviar uma entrada de expressão regular manipulada, um invasor remoto autenticado poderia explorar essa vulnerabilidade para causar uma condição de negação de serviço. Isso ocorre quando ldap.schema é usado para definições de esquemas não confiáveis.

Recomendações:

Para versões anteriores à 3.4.0, como solução temporária, considere verificar se há uma quantidade excessiva de barras invertidas nas entradas de esquemas, já que mais de uma dúzia de barras invertidas por linha é atípico.

Atualize para a versão 3.4.0 ou posterior, que contém uma solução para impedir ataques ReDoS, rejeitando definições de esquema com uma quantidade excessiva de barras invertidas.

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

AZL-9960

CVE-2021-46823

GHSA-QFR5-WJPW-Q4C4

GHSA-R8WQ-QRXC-HMCM

MGASA-2022-0310

OESA-2022-1792

OESA-2022-1809

USN-5508-1

Produtos afetados

Debian

Linuxmint

Ubuntu

Python-Ldap

Referências · 25

• https://github.com/python-ldap/python-ldap/security/advisories/GHSA-r8wq-qrxc-hmcm · Nota
• https://github.com/python-ldap/python-ldap · Nota
• https://github.com/python-ldap/python-ldap/issues/424 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-46823 · Aviso do Fabricante
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1792 · Nota
• https://advisories.mageia.org/MGASA-2022-0310.html · Nota de Segurança
• https://osv.dev/vulnerability/AZL-9960 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2022-1792 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-46823 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-46823 · Nota de Segurança
• https://osv.dev/vulnerability/USN-5508-1 · Aviso do Fabricante
• https://t.me/cibsecurity/44772 · Publicação no Telegram
• https://osv.dev/vulnerability/MGASA-2022-0310 · Aviso do Fabricante
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1809 · Nota
• https://ubuntu.com/security/CVE-2021-46823 · Aviso do Fabricante