PT-2024-22266 · Unknown · Apollo Router

Ivangoncharov · Publicado 2024-03-06 · Atualizado 2026-01-02 · CVE-2024-28101

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Apollo Router de 0.9.5 a 1.40.2

Descrição

O Apollo Router está sujeito a um problema do tipo Negação de Serviço (DoS). Ao receber cargas HTTP compactadas, as versões afetadas do Router avaliam a opção de configuração limits.http max request bytes após toda a carga compactada ter sido descompactada. Se as versões afetadas do Router receberem cargas altamente compactadas, isso poderá resultar em um consumo significativo de memória enquanto a carga compactada é expandida.

Recomendações

Para as versões 0.9.5 a 1.40.1, atualize para a versão 1.40.2 para resolver o problema.

Para aqueles que não puderem atualizar, considere implementar medidas de mitigação em proxies ou balanceadores de carga posicionados à frente da frota de roteadores, criando limites para o tamanho de upload do corpo HTTP.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-409

Identificadores relacionados

CVE-2024-28101

GHSA-CGQF-3CQ5-WVCJ

Produtos afetados

Apollo Router

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/28xxx/CVE-2024-28101.json · Exploit
• https://github.com/apollographql/router · Nota
• https://github.com/apollographql/router/commit/9e9527c73c8f34fc8438b09066163cd42520f413 · Correção
• https://github.com/apollographql/router/security/advisories/GHSA-cgqf-3cq5-wvcj · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-cgqf-3cq5-wvcj · Aviso do Fabricante
• https://t.me/cveNotify/147499 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2024-28101 · Nota de Segurança
• https://twitter.com/cracbot/status/1771321528778383362 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2024-28101 · Aviso do Fabricante