PT-2024-6608 · Webob+6 · Webob+6
Sara Gao
·
Publicado
2024-08-14
·
Atualizado
2024-12-19
·
CVE-2024-42353
CVSS v2.0
6.4
Média
| Vetor | AV:N/AC:L/Au:N/C:P/I:P/A:N |
Nome do software vulnerável e versões afetadas:
Versões do WebOb anteriores à 1.8.8
Descrição:
O problema está relacionado ao tratamento dos cabeçalhos HTTP Location no WebOb, onde as funções
urlparse e urljoin podem ser exploradas para redirecionar usuários para URLs arbitrárias. Isso ocorre quando a função urlparse trata uma string que começa com // como um URI sem esquema, e a função urljoin usa o nome do host da segunda parte da string, substituindo o nome do host original da solicitação. Isso pode permitir que um invasor remoto redirecione usuários para sites maliciosos.Recomendações:
Para versões do WebOb anteriores à 1.8.8, atualize para a versão 1.8.8 para corrigir a vulnerabilidade. Como solução temporária, considere reescrever qualquer uso da classe
Response que inclua um location para sempre passar um URI completo que inclua o nome do host para o qual o usuário será redirecionado. Restrinja o acesso às funções vulneráveis urlparse e urljoin para minimizar o risco de exploração. Evite usar a notação // no início de URLs para impedir possíveis redirecionamentos para sites maliciosos.Exploit
Correção
Open Redirect
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Debian
Linuxmint
Red Os
Suse
Ubuntu
Webob