PT-2021-6447 · Hyper · Hyper

Asta Olofsson + 1 · Publicado 2021-07-07 · Atualizado 2021-07-22 · CVE-2021-32715

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do hyper anteriores à 0.14.10

Descrição

O problema está relacionado à análise e aceitação incorretas de solicitações com um cabeçalho Content-Length contendo um sinal de mais como prefixo. Isso pode levar a “contrabando de solicitações” ou “ataques de dessincronização” quando combinado com um proxy HTTP upstream que não analisa tais cabeçalhos, mas os encaminha. A probabilidade estimada de um ataque explorar essa vulnerabilidade é considerada baixa devido às condições específicas necessárias.

Recomendações

Para versões anteriores à 0.14.10, considere as seguintes soluções alternativas:

• Rejeite manualmente as solicitações que contenham um prefixo de sinal de mais no cabeçalho Content-Length.
• Certifique-se de que qualquer proxy upstream trate os cabeçalhos Content-Length com um prefixo de sinal de mais.

Para uma correção permanente, atualize para a versão 0.14.10 ou posterior.

Exploit

Correção

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

BDU:2022-01647

CVE-2021-32715

GHSA-F3PG-QWVG-P99C

OPENSUSE-SU-2024:11751-1

RUSTSEC-2021-0078

Produtos afetados

Hyper

Referências · 16

• 🔥 https://github.com/hyperium/hyper/security/advisories/GHSA-f3pg-qwvg-p99c · Exploit
• https://github.com/rust-lang/rust/pull/28826/commits/123a83326fb95366e94a3be1a74775df4db97739 · Correção
• https://github.com/hyperium/hyper/commit/1fb719e0b61a4f3d911562a436a2ff05fd7cb759 · Nota
• https://github.com/hyperium/hyper · Nota
• https://crates.io/crates/hyper · Nota
• https://security-tracker.debian.org/tracker/CVE-2021-32715 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-f3pg-qwvg-p99c · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-32715 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32715 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32715 · Nota de Segurança
• https://ubuntu.com/security/CVE-2021-32715 · Aviso do Fabricante
• https://osv.dev/vulnerability/RUSTSEC-2021-0078 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-32715 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-32715 · Nota de Segurança
• https://rustsec.org/advisories/RUSTSEC-2021-0078.html · Nota