Vulnerabilidad en las peticiones POST en soketi (CVE-2022-21667)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

10/01/2022

Última modificación:

14/01/2022

Descripción

soketi es un servidor de WebSockets de código abierto. Se presenta un caso no manejado cuando son leídas peticiones POST que hace que el servidor se bloquee si no puede leer el cuerpo de una petición. En el caso de que sea enviado una petición POST a cualquier endpoint del servidor con un cuerpo vacío, incluso sin autenticar con el protocolo Pusher, bloqueará el servidor. Todos los usuarios que ejecutan el servidor están afectados por esta vulnerabilidad y es muy recomendable actualizar al último parche. No se presentan medidas de mitigación para este problema

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

7.50

Gravedad 3.x

ALTA

Vector 2.0

AV:N/AC:L/Au:N/C:N/I:N/A:P CVSS v2.0 Severidad y Métricas:

Puntuación base: 5.00 MEDIA
Vector: AV:N/AC:L/Au:N/C:N/I:N/A:P

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Ninguno
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Físico