PT-2024-2572 · Unknown+3 · Follow-Redirects+3

4Xpl0R3R · Publicado 2024-03-14 · Atualizado 2026-04-28 · CVE-2024-28849

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do follow-redirects anteriores à 1.15.6

Descrição

O problema está relacionado à proteção insuficiente de dados confidenciais no módulo follow-redirects, que é um substituto direto para os módulos http e https do Node. Esse módulo segue redirecionamentos automaticamente, mas apenas limpa o cabeçalho de autorização durante redirecionamentos entre domínios, mantendo o cabeçalho de autenticação do proxy que contém credenciais. Isso pode levar ao vazamento de credenciais. Não há soluções alternativas conhecidas para esse problema.

Recomendações

Para versões anteriores à 1.15.6, atualize para a versão 1.15.6 para resolver o problema.

Como solução alternativa temporária, considere remover o cabeçalho de autenticação de proxy durante redirecionamentos entre domínios.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

AZL-36895

AZL-43861

AZL-44493

BDU:2024-02610

CVE-2024-28849

GHSA-CXJH-PQWP-8MFP

OPENSUSE-SU-2024:13830-1

RHSA-2024:3781

USN-8217-1

Produtos afetados

Debian

Linuxmint

Ubuntu

Follow-Redirects

Referências · 34

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/28xxx/CVE-2024-28849.json · Exploit
• https://github.com/psf/requests/issues/1885 · Nota
• https://github.com/follow-redirects/follow-redirects/security/advisories/GHSA-cxjh-pqwp-8mfp · Aviso do Fabricante
• https://github.com/follow-redirects/follow-redirects/commit/c4f847f85176991f95ab9c88af63b1294de8649b · Correção
• https://github.com/follow-redirects/follow-redirects · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2024-28849 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2024-28849.html · Nota
• https://ubuntu.com/security/CVE-2022-0536 · Aviso do Fabricante
• https://osv.dev/vulnerability/USN-8217-1 · Aviso do Fabricante
• https://twitter.com/RedPacketSec/status/1770028598621069780 · Publicação no Twitter
• https://twitter.com/dailycve/status/2044968196906656179 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1768328049844469853 · Publicação no Twitter
• https://lists.fedoraproject.org/archives/list/[e-mail]/message/VOIF4EPQUCKDBEVTGRQDZ3CGTYQHPO7Z · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2024-28849 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2023-26159 · Aviso do Fabricante