PT-2022-19246 · Go+9 · Go+9
Daniel Abeles
+1
·
Publicado
2022-10-04
·
Atualizado
2025-02-28
·
CVE-2022-2880
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do software vulnerável e versões afetadas
Versões do Go anteriores à versão corrigida
Descrição
O problema diz respeito ao ReverseProxy no Go, que inclui parâmetros de consulta não processados da solicitação de entrada, incluindo parâmetros não analisáveis rejeitados pelo net/http, o que pode permitir o contrabando de parâmetros de consulta quando um proxy Go encaminha um parâmetro com um valor não analisável. Após a correção, o ReverseProxy sanitiza os parâmetros de consulta na consulta encaminhada quando o campo Form da solicitação de saída é definido após o retorno da função ReverseProxy Director, indicando que o proxy analisou os parâmetros de consulta. Proxies que não analisam parâmetros de consulta continuam a encaminhar os parâmetros de consulta originais inalterados.
Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
Exploit
HTTP Request/Response Smuggling
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Almalinux
Centos
Debian
Go
Linuxmint
Red Hat
Rocky Linux
Suse
Ubuntu