PT-2024-24930 · Frigate · Frigate

Sim4N6 · Publicado 2024-05-09 · Atualizado 2024-05-14 · CVE-2024-32874

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.8

Média

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H

Nome do software vulnerável e versões afetadas

Versões do Frigate anteriores à 0.13.2

Descrição

O problema decorre da ausência de limitação no comprimento dos nomes de arquivos e do uso dispendioso da normalização Unicode na forma NFKD nos bastidores da função secure filename(). Isso pode levar a uma negação de serviço no nível do aplicativo quando um usuário carrega intencionalmente um arquivo ou recupera um nome de arquivo com um nome Unicode muito longo.

Recomendações

Para versões anteriores à 0.13.2, atualize para a versão 0.13.2 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o comprimento dos nomes de arquivos para evitar ataques intencionais de negação de serviço.

Exploit

Correção

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

CVE-2024-32874

GHSA-W4H6-9WRP-V5JQ

Produtos afetados

Frigate

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/32xxx/CVE-2024-32874.json · Exploit
• https://github.com/blakeblackshear/frigate · Nota
• https://github.com/blakeblackshear/frigate/blob/d7ae0eedf89e14f297093ac5c8042862034cbaeb/frigate/api/media.py#L684C9-L684C59 · Nota
• https://github.com/blakeblackshear/frigate/commit/cc851555e4029647986dccc8b8ecf54afee31442 · Nota
• https://github.com/blakeblackshear/frigate/security/advisories/GHSA-w4h6-9wrp-v5jq · Nota
• https://github.com/blakeblackshear/frigate/blob/d7ae0eedf89e14f297093ac5c8042862034cbaeb/frigate/api/media.py#L728C38-L728C80 · Nota
• https://github.com/blakeblackshear/frigate/blob/d7ae0eedf89e14f297093ac5c8042862034cbaeb/frigate/api/media.py#L705C42-L705C88 · Nota
• https://github.com/blakeblackshear/frigate/blob/d7ae0eedf89e14f297093ac5c8042862034cbaeb/frigate/api/media.py#L1346C46-L1346C55 · Nota
• https://github.com/blakeblackshear/frigate/blob/d7ae0eedf89e14f297093ac5c8042862034cbaeb/frigate/api/media.py#L408C33-L408C78 · Nota
• https://github.com/blakeblackshear/frigate/blob/d7ae0eedf89e14f297093ac5c8042862034cbaeb/frigate/api/media.py#L646C25-L646C47 · Nota
• https://osv.dev/vulnerability/GHSA-w4h6-9wrp-v5jq · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-32874 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-32874 · Aviso do Fabricante