PT-2022-16864 · Mitmproxy+1 · Mitmproxy+1

Zeyu2001 · Publicado 2022-03-21 · Atualizado 2025-02-10 · CVE-2022-24766

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

mitmproxy versões 7.0.4 e anteriores

Descrição

Um cliente ou servidor mal-intencionado pode realizar ataques de contrabando de solicitações HTTP por meio do mitmproxy. Isso significa que um cliente/servidor mal-intencionado poderia contrabandear uma solicitação/resposta através do mitmproxy como parte do corpo da mensagem HTTP de outra solicitação/resposta. Enquanto o mitmproxy veria apenas uma solicitação, o servidor de destino veria várias solicitações. Uma solicitação contrabandeada ainda é capturada como parte do corpo de outra solicitação, mas não aparece na lista de solicitações e não passa pelos ganchos de evento habituais do mitmproxy, onde os usuários podem ter implementado verificações personalizadas de controle de acesso ou sanitização de entrada.

Recomendações

Para as versões 7.0.4 e anteriores do mitmproxy, atualize para o mitmproxy 8.0.0 ou superior para corrigir a vulnerabilidade. A menos que o mitmproxy seja usado para proteger um serviço HTTP/1, nenhuma ação é necessária.

Exploit

Correção

HTTP Request/Response Smuggling

Enumeração de Fraquezas

CWE-444

Identificadores relacionados

CVE-2022-24766

GHSA-GCX2-GVJ7-PXV3

OPENSUSE-SU-2024:11956-1

OPENSUSE-SU-2025:14762-1

PYSEC-2022-170

Produtos afetados

Debian

Mitmproxy

Referências · 20

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24766.json · Exploit
• https://github.com/mitmproxy/mitmproxy · Nota
• https://github.com/mitmproxy/mitmproxy/commit/b06fb6d157087d526bd02e7aadbe37c56865c71b · Correção
• https://github.com/mitmproxy/mitmproxy/security/advisories/GHSA-gcx2-gvj7-pxv3 · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/mitmproxy/PYSEC-2022-170.yaml · Nota
• https://t.me/cibsecurity/39330 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-24766 · Nota de Segurança
• https://ubuntu.com/security/CVE-2022-24766 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-24766 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2022-24766 · Aviso do Fabricante
• https://osv.dev/vulnerability/openSUSE-SU-2025:14762-1 · Aviso do Fabricante
• https://mitmproxy.org/posts/releases/mitmproxy8 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2022-24766 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2022-3602 · Nota
• https://osv.dev/vulnerability/GHSA-gcx2-gvj7-pxv3 · Aviso do Fabricante