CVE-2021-21328mediumCWE-400

CVE-2021-21328: falha de média gravidade em vapor

Denial of Service

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar vapor

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 1.8%
Em resumo

O Vapor (framework web para Swift) em versões anteriores à 4.40.1 é vulnerável a ataques de negação de serviço, onde requisições para muitas URLs diferentes criam contadores e cronômetros ilimitados, esgotando recursos do sistema e afetando a aplicação e serviços conectados.

Detalhe técnico

Vulnerabilidade CWE-400 de esgotamento de recursos no backend de métricas do Vapor: atacantes não autenticados podem disparar criação ilimitada de contadores/cronômetros enviando requisições a rotas indefinidas arbitrárias, consumindo memória e recursos de processamento. Corrigido reescrevendo rotas indefinidas para um único contador `vapor_route_undefined`. Afeta qualquer instância Vapor com métricas habilitadas anterior à 4.40.1.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Vapor is a web framework for Swift. In Vapor before version 4.40.1, there is a DoS attack against anyone who Bootstraps a metrics backend for their Vapor app. The following is the attack vector: 1. send unlimited requests against a vapor instance with different paths. this will create unlimited counters and timers, which will eventually drain the system. 2. downstream services might suffer from this attack as well by being spammed with error paths. This has been patched in 4.40.1. The `DefaultResponder` will rewrite any undefined route paths for to `vapor_route_undefined` to avoid unlimited counters.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
vapor · vapor
CVEs relacionadas — vapor

No mesmo produto, das mais perigosas para as menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2020-15230HIGHArbitrary file read un VaporEPSS 1.5%CVE-2021-32742HIGHUntrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crashEPSS 1.2%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.7%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%