PT-2024-9408 · Pypi+10 · Urllib3+10
Smartkeyss
·
Publicado
2024-06-17
·
Atualizado
2026-06-03
·
CVE-2024-37891
CVSS v3.1
6.5
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas:
versões do urllib3 anteriores à 1.26.19
versões do urllib3 anteriores à 2.2.2
Descrição:
O problema está relacionado ao tratamento do cabeçalho
Proxy-Authorization no urllib3, uma biblioteca cliente HTTP para Python. Ao usar o suporte a proxy do urllib3 com ProxyManager, o cabeçalho Proxy-Authorization é enviado apenas ao proxy configurado. No entanto, ao enviar solicitações HTTP sem usar o suporte a proxy do urllib3, é possível configurar acidentalmente o cabeçalho Proxy-Authorization, o que não terá nenhum efeito, mas ainda assim poderá ser enviado em redirecionamentos entre origens. Isso pode potencialmente permitir que um invasor remoto obtenha informações confidenciais. A gravidade desse problema é considerada baixa para quase todos os usuários, pois requer condições específicas para ser explorada: definir o cabeçalho Proxy-Authorization sem usar o suporte a proxy integrado do urllib3, não desativar redirecionamentos HTTP e não usar um servidor de origem HTTPS ou redirecionar para uma origem maliciosa.Recomendações:
Atualize para a versão 1.26.19 ou 2.2.2 para resolver o problema.
Para versões anteriores à 1.26.19, use o cabeçalho
Proxy-Authorization com o ProxyManager do urllib3 como medida de mitigação.Para versões anteriores à 2.2.2, desative redirecionamentos HTTP usando
redirects=False ao enviar solicitações como medida de mitigação.Como alternativa, não use o cabeçalho
Proxy-Authorization como medida de mitigação para versões anteriores à 1.26.19 e 2.2.2.Exploit
Correção
DoS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Almalinux
Astra Linux
Centos
Ibm Aix
Linuxmint
Red Hat
Red Os
Rocky Linux
Suse
Ubuntu
Urllib3