PT-2022-14744 · Undertow · Undertow
Jason Lee
·
Publicado
2022-08-05
·
Atualizado
2022-08-11
·
CVE-2022-2053
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
Nome do software vulnerável e versões afetadas
Versões do Undertow anteriores à 2.2.19.Final
Versões do Undertow anteriores à 2.3.0.Alpha2
Descrição
Quando uma solicitação POST chega pelo AJP e a solicitação excede o limite de tamanho máximo (maxEntitySize), a implementação AjpServerRequestConduit do Undertow fecha a conexão sem enviar nenhuma resposta ao cliente/proxy. Esse comportamento faz com que um proxy front-end marque o worker back-end (servidor de aplicativos) como estando em estado de erro e não encaminhe solicitações para o worker por um tempo. No mod cluster, isso continua até que a próxima solicitação STATUS (em intervalos de 10 segundos) do servidor de aplicativos atualize o estado do servidor. Assim, na pior das hipóteses, isso pode resultar em “Todos os workers estão em estado de erro” e o mod cluster responde “503 Serviço indisponível” por um tempo (até 10 segundos). No mod proxy balancer, ele não encaminha solicitações para o worker até que o tempo limite de “retry” expire. No entanto, felizmente, o mod proxy balancer possui a configuração “forcerecovery” (ativada por padrão; esse parâmetro pode forçar a recuperação imediata de todos os workers sem considerar o parâmetro de retry dos workers se todos os workers de um balanceador estiverem em estado de erro). Um invasor poderia usar esse comportamento para enviar uma solicitação maliciosa e provocar erros no servidor, resultando em DoS (negação de serviço).
Recomendações
Para versões do Undertow anteriores à 2.2.19.Final, atualize para o Undertow 2.2.19.Final ou posterior.
Para versões do Undertow anteriores à 2.3.0.Alpha2, atualize para o Undertow 2.3.0.Alpha
Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Undertow