CVE-2021-21328mediumCWE-400

CVE-2021-21328: fallo de gravedad media en vapor

Denial of Service

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vapor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 1.8%
En resumen

Vapor (framework web para Swift) en versiones anteriores a 4.40.1 es vulnerable a ataques de denegación de servicio donde solicitudes a muchas URLs diferentes crean contadores y temporizadores ilimitados, agotando recursos del sistema y afectando la aplicación y servicios conectados.

Detalle técnico

Vulnerabilidad CWE-400 de agotamiento de recursos en el backend de métricas de Vapor: atacantes no autenticados pueden desencadenar creación ilimitada de contadores/temporizadores enviando solicitudes a rutas indefinidas arbitrarias, consumiendo memoria y recursos de procesamiento. Se corrigió reescribiendo rutas indefinidas a un único contador `vapor_route_undefined`. Afecta cualquier instancia Vapor con métricas habilitadas anterior a 4.40.1.

Resumen generado y traducido por IA a partir de la descripción oficial.
Vapor is a web framework for Swift. In Vapor before version 4.40.1, there is a DoS attack against anyone who Bootstraps a metrics backend for their Vapor app. The following is the attack vector: 1. send unlimited requests against a vapor instance with different paths. this will create unlimited counters and timers, which will eventually drain the system. 2. downstream services might suffer from this attack as well by being spammed with error paths. This has been patched in 4.40.1. The `DefaultResponder` will rewrite any undefined route paths for to `vapor_route_undefined` to avoid unlimited counters.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Productos afectados
vapor · vapor
CVEs relacionadas — vapor

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2020-15230HIGHArbitrary file read un VaporEPSS 1.5%CVE-2021-32742HIGHUntrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crashEPSS 1.2%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.7%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%