PT-2024-38689 · Apache+1 · Apache'S Mod Proxy+1
Avinash Hanwate
·
Publicado
2024-04-09
·
Atualizado
2025-12-03
·
CVE-2024-7923
CVSS v2.0
10
Crítica
| Vetor | AV:N/AC:L/Au:N/C:C/I:C/A:C |
Nome do software vulnerável e versões afetadas
Pulpcore versões 3.0 e posteriores
Gunicorn versões anteriores à 22.0
Descrição
Foi identificada uma falha de contorno de autenticação devido ao mod proxy do Apache não desativar corretamente os cabeçalhos por causa de restrições ao uso de sublinhados nos cabeçalhos HTTP, permitindo a autenticação por meio de um cabeçalho malformado. Essa falha afeta todas as implantações ativas do Satellite (6.13, 6.14 e 6.15) que utilizam o Pulpcore versão 3.0 ou posterior e pode potencialmente permitir que usuários não autorizados obtenham acesso administrativo.
Recomendações
Para as versões 3.0 e posteriores do Pulpcore, atualize o Gunicorn para a versão 22.0 ou posterior para resolver o problema.
Para versões do Gunicorn anteriores à 22.0, considere desativar o uso do mod proxy do Apache até que um patch esteja disponível.
Como solução alternativa temporária, restrinja o acesso à configuração vulnerável para minimizar o risco de exploração.
Correção
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache'S Mod Proxy
Red Os