PT-2024-20075 · Darkhttpd · Darkhttpd

Matthias Gerstner · CVE-2024-23771 · Publicado 2024-01-21 · Atualizado 2026-03-29

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do darkhttpd anteriores à 1.15

Descrição

O problema decorre do uso da função strcmp (que não tem tempo de execução constante) para verificar a autenticação, facilitando que invasores remotos contornem a autenticação por meio de um canal lateral de tempo. Isso permite que invasores possam obter acesso não autorizado.

Recomendações

Para versões anteriores à 1.15, atualize para a versão 1.15 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a áreas sensíveis do servidor para minimizar o risco de exploração.

Exploit

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2024-23771

Produtos afetados

Darkhttpd

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/23xxx/CVE-2024-23771.json · Exploit
• https://github.com/emikulic/darkhttpd/commit/f477619d49f3c4de9ad59bd194265a48ddc03f04 · Correção
• https://github.com/emikulic/darkhttpd/compare/v1.14...v1.15 · Nota
• https://osv.dev/vulnerability/ROOT-OS-ALPINE-318-CVE-2024-23771 · Aviso do Fabricante
• https://security.alpinelinux.org/vuln/CVE-2024-23771 · Nota
• https://osv.dev/vulnerability/ROOT-OS-ALPINE-319-CVE-2024-23771 · Aviso do Fabricante
• https://twitter.com/LimitedViewX/status/1751923240442716450 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/1749317631641821285 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1749275247247753494 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-23771 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-23771 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2024/01/25/1 · Nota
• https://t.me/cvenotify/68184 · Publicação no Telegram
• https://osv.dev/vulnerability/ALPINE-CVE-2024-23771 · Aviso do Fabricante
• https://t.me/cvenotify/68646 · Publicação no Telegram