Vulnerabilidad en Bref (CVE-2024-24752)

Gravedad CVSS v3.1:

MEDIA

Tipo:

CWE-400 Consumo de recursos no controlado (Agotamiento de recursos)

Fecha de publicación:

01/02/2024

Última modificación:

17/10/2024

Descripción

Bref habilita PHP sin servidor en AWS Lambda. Cuando se usa Bref con el tiempo de ejecución de la función controlada por eventos y el controlador es "RequestHandlerInterface", el evento Lambda se convierte en un objeto PSR7. Durante el proceso de conversión, si la solicitud es MultiPart, cada parte se analiza y, para cada una de las que contiene un archivo, se extrae y se guarda en `/tmp` con un nombre de archivo aleatorio que comienza con `bref_upload_`. El flujo imita lo que hace el PHP plano pero no elimina los archivos temporales cuando se procesa la solicitud. Un atacante podría llenar el disco de la instancia de Lambda realizando múltiples solicitudes MultiPart que contengan archivos. Esta vulnerabilidad está parcheada en 2.1.13.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto