Vulnerabilidad en Starlette (CVE-2024-47874)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
15/10/2024
Última modificación:
16/10/2024
Descripción
Starlette es un conjunto de herramientas/marco de interfaz de puerta de enlace de servidor asincrónico (ASGI). Antes de la versión 0.40.0, Starlette trata las partes `multipart/form-data` sin un `filename` como campos de formulario de texto y las almacena en búfer en cadenas de bytes sin límite de tamaño. Esto permite a un atacante cargar campos de formulario arbitrarios de gran tamaño y hacer que Starlette se ralentice significativamente debido a asignaciones de memoria excesivas y operaciones de copia, y también consuma cada vez más memoria hasta que el servidor comienza a intercambiar y se detiene, o el sistema operativo finaliza el proceso del servidor con un error OOM. Cargar múltiples solicitudes de este tipo en paralelo puede ser suficiente para dejar un servicio prácticamente inutilizable, incluso si se aplican límites de tamaño de solicitud razonables mediante un proxy inverso frente a Starlette. Esta vulnerabilidad de denegación de servicio (DoS) afecta a todas las aplicaciones creadas con Starlette (o FastAPI) que aceptan solicitudes de formulario. La versión 0.40.0 corrige este problema.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA
Puntuación base 3.x
0.00
Gravedad 3.x
Pendiente de análisis