PT-2022-7596 · Twisted+5 · Twisted+5
Adiroiban
·
Publicado
2022-10-26
·
Atualizado
2025-12-26
·
CVE-2022-39348
CVSS v2.0
5.5
Média
| Vetor | AV:N/AC:L/Au:S/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas
Versões do Twisted de 0.9.4 a 22.10.0rc1
Descrição
O problema está relacionado à estrutura baseada em eventos do Twisted para aplicações da Internet. Quando o cabeçalho Host não corresponde a um host configurado,
twisted.web.vhost.NameVirtualHost retornará um recurso NoResource, o que faz com que o cabeçalho Host seja renderizado sem escape na resposta 404, permitindo a injeção de HTML e scripts. Isso poderia potencialmente permitir que um invasor remoto acessasse e comprometesse dados confidenciais. No entanto, a exploração é considerada difícil, pois requer a capacidade de modificar o cabeçalho Host de uma solicitação HTTP normal, o que implica uma posição privilegiada.Recomendações
Para as versões do Twisted 0.9.4 a 22.10.0rc1, atualize para a versão 22.10.0rc1 ou posterior para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso ao módulo
twisted.web.vhost.NameVirtualHost até que um patch esteja disponível.Evite usar o cabeçalho
Host no endpoint da API afetado até que o problema seja resolvido.Exploit
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Astra Linux
Linuxmint
Red Os
Suse
Twisted
Ubuntu