Vulnerabilidad en los atributos "http_user" y "http_pass" en Scrapy-splash (CVE-2021-41124)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-200 Revelación de información

Fecha de publicación:

05/10/2021

Última modificación:

14/10/2021

Descripción

Scrapy-splash es una biblioteca que proporciona integración de Scrapy y JavaScript. En las versiones afectadas, unos usuarios que usan ["HttpAuthMiddleware"](http://doc.scrapy.org/en/latest/topics/downloader-middleware.html#module-scrapy.downloadermiddlewares.httpauth) (es decir, los atributos "http_user" y "http_pass" de spider) para la autenticación de Splash tendrán cualquier petición que no sea de Scrapy expondrá sus credenciales al objetivo de la petición. Esto incluye las peticiones "robots.txt" enviadas por Scrapy cuando la configuración "ROBOTSTXT_OBEY" es establecida en "True". Actualice a scrapy-splash 0.8.0 y use los nuevos ajustes "SPLASH_USER" y "SPLASH_PASS" para establecer sus credenciales de autenticación de Splash de forma segura. Si no puede actualizar, establezca sus credenciales de petición de Splash en base a cada petición, [usando el parámetro de petición "splash_headers"](https://github.com/scrapy-plugins/scrapy-splash/tree/0.8.x#http-basic-auth), en lugar de definirlas globalmente usando el ["HttpAuthMiddleware"](http://doc.scrapy.org/en/latest/topics/downloader-middleware.html#module-scrapy.downloadermiddlewares.httpauth). Alternativamente, asegúrate de que todas tus peticiones pasan mediante Splash. Esto incluye la deshabilitación del middleware [robots.txt](https://docs.scrapy.org/en/latest/topics/downloader-middleware.html#topics-dlmw-robots)

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:M/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 4.30 MEDIA
Vector: AV:N/AC:M/Au:N/C:P/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Medio
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno