PT-2022-21619 · Rdiffweb · Rdiffweb

Ikus060 · Publicado 2022-09-26 · Atualizado 2022-09-28 · CVE-2022-3298

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do rdiffweb anteriores à 2.4.8

Descrição

O problema está relacionado à alocação de recursos sem limites ou restrições, o que pode levar a um ataque de Negação de Serviço (DoS). Especificamente, um campo “title” de comprimento ilimitado ao adicionar uma chave SSH pode resultar em consumo excessivo de memória. Não há soluções alternativas conhecidas para este problema.

Recomendações

Para versões anteriores à 2.4.8, atualize para a versão 2.4.8 para resolver o problema. Como solução alternativa temporária, considere restringir o comprimento do campo title ao adicionar uma chave SSH para minimizar o risco de exploração.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2022-3298

GHSA-XHW9-4WQQ-X67V

PYSEC-2022-294

Produtos afetados

Rdiffweb

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/3xxx/CVE-2022-3298.json · Exploit
• 🔥 https://huntr.dev/bounties/f9fedf94-41c9-49c4-8552-e407123a44e7 · Exploit
• https://github.com/pypa/advisory-database/tree/main/vulns/rdiffweb/PYSEC-2022-294.yaml · Nota
• https://github.com/ikus060/rdiffweb/commit/626cca1b75b6c587afd4241a9692e8929b1921a5 · Correção
• https://github.com/ikus060/rdiffweb · Nota
• https://osv.dev/vulnerability/GHSA-xhw9-4wqq-x67v · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-3298 · Nota de Segurança
• https://t.me/cvenotify/36838 · Publicação no Telegram
• https://t.me/cvenotify/36858 · Publicação no Telegram
• https://t.me/cibsecurity/50526 · Publicação no Telegram
• https://osv.dev/vulnerability/PYSEC-2022-294 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2022-3298 · Aviso do Fabricante