Vulnerabilidad en txtdot (CVE-2024-41812)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-918 Falsificación de solicitud en servidor (SSRF)

Fecha de publicación:

26/07/2024

Última modificación:

30/09/2024

Descripción

txtdot es un proxy HTTP que analiza sólo texto, enlaces e imágenes de las páginas, eliminando anuncios y scripts pesados. Antes de la versión 1.7.0, una vulnerabilidad de Server-Side Request Forgery (SSRF) en la ruta `/get` de txtdot permitía a atacantes remotos usar el servidor como proxy para enviar solicitudes HTTP GET a objetivos arbitrarios y recuperar información en el servidor interno. red. La versión 1.7.0 impide mostrar la respuesta de solicitudes falsificadas, pero las solicitudes aún se pueden enviar. Para una mitigación completa, se debe configurar un firewall entre txtdot y otros recursos de la red interna.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno