Vulnerabilidad en las aplicaciones HTTP (servidores) basadas en Crow (CVE-2022-38667)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-416 Utilización después de liberación

Fecha de publicación:

22/08/2022

Última modificación:

28/10/2022

Descripción

Las aplicaciones HTTP (servidores) basadas en Crow hasta 1.0+4 pueden permitir un Use-After-Free y la ejecución de código cuando se utiliza HTTP pipelining. El parser HTTP soporta HTTP pipelining, pero la capa de conexión asíncrona no es consciente de HTTP pipelining. Específicamente, la capa de conexión no es consciente de que ha comenzado a procesar una solicitud posterior antes de que haya terminado de procesar una solicitud anterior

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto