PT-2022-7316 · Unknown+7 · Varnish Cache+7
Martin Van Kervel Smedshammer
·
Publicado
2022-11-08
·
Atualizado
2026-05-11
·
CVE-2022-45060
CVSS v2.0
7.8
Alta
| Vetor | AV:N/AC:L/Au:N/C:N/I:C/A:N |
Nome do software vulnerável e versões afetadas
Varnish Cache, versões 5.x a 6.0.10
Varnish Cache, versões 7.x a 7.1.1
Varnish Cache, versões 7.2.x a 7.2.0
Descrição
Foi descoberta uma vulnerabilidade de falsificação de solicitação HTTP no Varnish Cache, na qual um invasor pode introduzir caracteres por meio de pseudo-cabeçalhos HTTP/2 que são inválidos no contexto de uma linha de solicitação HTTP/1, fazendo com que o servidor Varnish gere solicitações HTTP/1 inválidas para o backend. Isso poderia ser usado para explorar vulnerabilidades em um servidor atrás do servidor Varnish.
Recomendações
Para as versões 5.x a 6.0.10 do Varnish Cache, atualize para a versão 6.0.11 ou posterior.
Para as versões 7.x a 7.1.1 do Varnish Cache, atualize para a versão 7.1.2 ou posterior.
Para as versões do Varnish Cache 7.2.x a 7.2.0, atualize para a versão 7.2.1 ou posterior.
Como solução alternativa temporária, considere restringir o acesso ao servidor Varnish para minimizar o risco de exploração.
Correção
RCE
SSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Almalinux
Centos
Linuxmint
Red Hat
Red Os
Rocky Linux
Ubuntu
Varnish Cache