PT-2021-6597 · Pypi+1 · Go-Proxyproto+1
Tecnobrat
+1
·
Publicado
2021-01-27
·
Atualizado
2022-07-01
·
CVE-2021-23409
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:N/A:C |
Nome do software vulnerável e versões afetadas
Versões anteriores à 0.6.0 da biblioteca github.com/pires/go-proxyproto
Descrição
A vulnerabilidade na biblioteca github.com/pires/go-proxyproto está relacionada à ausência de um tempo limite (timeout) durante a espera pelo cabeçalho do protocolo proxy. Isso permite que um invasor remoto cause uma negação de serviço (DoS) ao criar conexões sem o cabeçalho do protocolo proxy, levando ao esgotamento de recursos. A vulnerabilidade pode ser explorada abrindo-se muitas conexões e não enviando dados por elas.
Recomendações
Para versões anteriores à 0.6.0, atualize para a versão 0.6.0 ou posterior para resolver o problema. Além disso, considere configurar um tempo limite de cabeçalho definido pelo usuário para evitar problemas semelhantes no futuro. Como solução alternativa temporária, considere restringir o acesso ao servidor do protocolo PROXY para minimizar o risco de exploração.
Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Debian
Go-Proxyproto