CVE-2021-32742highCWE-502

CVE-2021-32742: fallo de gravedad alta en vapor

Untrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crash

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vapor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 1.2%
En resumen

Un defecto en la función de decodificación base32 de Vapor puede exponer memoria del servidor o causar un bloqueo de la aplicación al procesar datos no confiables. Afecta a aplicaciones que usan esta función específica directamente o a través de dependencias.

Detalle técnico

CWE-502 (Deserialización de Datos No Confiables): La función `Data.init(base32Encoded:)` en Vapor ≤4.47.1 maneja incorrectamente la entrada codificada en base32, permitiendo que un atacante proporcione datos maliciosos que desencadenen exposición de memoria o denegación de servicio. La explotación requiere que la función vulnerable procese entrada controlada por el atacante.

Resumen generado y traducido por IA a partir de la descripción oficial.
Vapor is a web framework for Swift. In versions 4.47.1 and prior, bug in the `Data.init(base32Encoded:)` function opens up the potential for exposing server memory and/or crashing the server (Denial of Service) for applications where untrusted data can end up in said function. Vapor does not currently use this function itself so this only impact applications that use the impacted function directly or through other dependencies. The vulnerability is patched in version 4.47.2. As a workaround, one may use an alternative to Vapor's built-in `Data.init(base32Encoded:)`.
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Productos afectados
vapor · vapor
CVEs relacionadas — vapor

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2021-21328MEDIUMDenial of ServiceEPSS 1.8%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2020-15230HIGHArbitrary file read un VaporEPSS 1.5%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.7%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%