PT-2024-40918 · Diesel · Diesel
Publicado
2024-08-23
·
Atualizado
2024-08-23
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Versões do Diesel <= 2.2.2
Descrição
O problema diz respeito a uma vulnerabilidade de injeção de SQL que pode ser explorada através da codificação de um valor superior a 4 GiB, causando um estouro no prefixo de comprimento do protocolo. Isso pode levar o servidor a interpretar o restante da string como comandos do protocolo binário ou outros dados. A vulnerabilidade existe no Diesel devido a conversões truncadas, que estão presentes no código desde o seu início. Recomenda-se validar entradas de usuário não confiáveis e rejeitar qualquer entrada superior a 4 GiB ou qualquer entrada que possa ser codificada em uma string maior que 4 GiB.
Recomendações
Para versões <= 2.2.2, atualize para uma versão do Diesel posterior à 2.2.2, que inclui correções para o problema.
Como solução temporária, considere validar as entradas do usuário para rejeitar qualquer entrada com mais de 4 GiB ou qualquer entrada que possa ser codificada em uma string com mais de 4 GiB.
Para back-ends de aplicativos web, considere adicionar middleware que limite o tamanho dos corpos das solicitações por padrão.
Para a versão 2.2.3, nenhuma ação adicional é necessária, pois ela inclui a correção para o problema.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Diesel