PT-2024-40507 · Diesel · Diesel
Publicado
2024-08-23
·
Atualizado
2024-08-23
CVSS v4.0
8.9
Alta
| Vetor | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:P |
Nome do software vulnerável e versões afetadas
Versões do Diesel anteriores à 2.2.3
Descrição
O problema diz respeito a uma vulnerabilidade de injeção de SQL que pode ser explorada através da codificação de um valor superior a 4 GiB, causando um estouro no prefixo de comprimento do protocolo. Isso pode levar o servidor a interpretar o restante da string como comandos do protocolo binário ou outros dados. Estima-se que todas as versões publicadas do Diesel anteriores à 2.2.3 estejam afetadas. Os usuários devem validar entradas de usuário não confiáveis e rejeitar qualquer entrada superior a 4 GiB, ou qualquer entrada que possa ser codificada em uma string maior que 4 GiB.
Recomendações
Para versões anteriores à 2.2.3, atualize para uma versão do Diesel posterior à 2.2.3, que inclui correções para o problema.
Como solução temporária, considere validar as entradas do usuário para rejeitar qualquer entrada com mais de 4 GiB ou qualquer entrada que possa ser codificada em uma string com mais de 4 GiB.
Para back-ends de aplicativos web, considere adicionar algum middleware que limite o tamanho dos corpos das solicitações por padrão.
Correção
SQL injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Diesel