CVE-2023-44386mediumCWE-231CWE-617CWE-696

CVE-2023-44386: fallo de gravedad media en vapor

Incorrect request error handling triggers server crash in Vapor

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear vapor

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 5.3epss 0.7%
En resumen

Vapor, un framework web para Swift, se bloquea cuando recibe solicitudes HTTP malformadas porque cierra conexiones en lugar de manejar los errores correctamente. Los atacantes pueden derribar el servicio enviando solicitudes inválidas.

Detalle técnico

Una vulnerabilidad de denegación de servicio en el controlador de errores HTTP/1 de Vapor permite que atacantes remotos sin autenticación derriben el servidor enviando solicitudes HTTP malformadas. El framework cierra conexiones en errores de análisis HTTP en lugar de manejarlos correctamente, sin requerir privilegios ni interacción del usuario. Se corrigió en Vapor 4.84.2.

Resumen generado y traducido por IA a partir de la descripción oficial.
Vapor is an HTTP web framework for Swift. There is a denial of service vulnerability impacting all users of affected versions of Vapor. The HTTP1 error handler closed connections when HTTP parse errors occur instead of passing them on. The issue is fixed as of Vapor release 4.84.2.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Productos afectados
vapor · vapor
CVEs relacionadas — vapor

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2021-21328MEDIUMDenial of ServiceEPSS 1.8%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2020-15230HIGHArbitrary file read un VaporEPSS 1.5%CVE-2021-32742HIGHUntrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crashEPSS 1.2%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%