Vulnerabilidad en una petición HTTP en el registrador de peticiones en el componente logging en el paquete uvicorn (CVE-2020-7694)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

27/07/2020

Última modificación:

21/07/2021

Descripción

Esto afecta a todas las versiones del paquete uvicorn. El registrador de peticiones proporcionado por el paquete es vulnerable a una inyección de secuencia de escape ASNI. Cada vez que es recibida una petición HTTP, el comportamiento predeterminado de uvicorn es registrar sus detalles en la consola o en un archivo de registro. Cuando los atacantes solicitan las URL diseñadas con secuencias de escape codificadas en porcentaje, el componente logging registrará la URL después de que hayan sido procesada con urllib.parse.unquote, por lo tanto, convertirá cualquier carácter codificado en porcentaje en su equivalente de un solo carácter, que puede tener un significado especial en emuladores de terminal. Al solicitar las URL con rutas diseñadas, unos atacantes pueden: * Contaminar los registros de acceso de uvicorn, poniendo en peligro la integridad de dichos archivos. * Usar los códigos de secuencia ANSI para intentar interactuar con el emulador de terminal que muestra los registros (ya sea en tiempo real o desde un archivo)

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:P/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:P/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Físico
Impacto a la disponibilidad (A): Ninguno