CVE-2022-31799

Nieprawidłowa obsługa błędów podczas wiązania żądań w Bottle przed 0.12.20

CVSS 9.8v3.1pub. 2022-06-02upd. 2024-11-21

Biblioteka Bottle w wersjach przed 0.12.20 nieprawidłowo obsługuje błędy występujące we wczesnej fazie wiązania żądań HTTP. Podatność otrzymała ocenę krytyczną (CVSS 9.8), co wskazuje na poważne ryzyko naruszenia poufności, integralności i dostępności systemu.

▸ Pokaż oryginał (EN)

Bottle before 0.12.20 mishandles errors during early request binding.

🤖 Analiza AI

Jak działa

Błąd (CWE-755) polega na nieodpowiedniej obsłudze wyjątków podczas wczesnego etapu przetwarzania żądania przez framework Bottle. Gdy podczas tej fazy wystąpi błąd, aplikacja nie radzi sobie z nim poprawnie, co może prowadzić do nieoczekiwanego zachowania serwera. Podatność jest możliwa do wykorzystania zdalnie, bez uwierzytelnienia i bez jakiejkolwiek interakcji użytkownika.

Skutki

Atakujący może zdalnie doprowadzić do naruszenia poufności, integralności oraz dostępności aplikacji opartej na frameworku Bottle. Ze względu na wysokie oceny wszystkich trzech wektorów wpływu, skutki mogą obejmować nieautoryzowany dostęp do danych, ich modyfikację lub niedostępność usługi.

Mitygacja

Należy zaktualizować bibliotekę Bottle do wersji 0.12.20 lub nowszej. Użytkownicy dystrybucji Debian Linux i Fedora powinni zastosować patche dostępne w ramach oficjalnych kanałów aktualizacji tych systemów, zgodnie z opublikowanymi komunikatami bezpieczeństwa.

Kogo dotyczy

Bottlepy Bottle w wersjach przed 0.12.20, a także pakiety Bottle dostarczone w ramach dystrybucji Debian Linux oraz Fedora (konkretne wersje dystrybucji wskazane w referencjach producenta).