CVE-2021-32742highCWE-502

CVE-2021-32742: falha de alta gravidade em vapor

Untrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crash

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar vapor

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.2%
Em resumo

Uma falha na função de decodificação base32 do Vapor pode expor memória do servidor ou causar crash da aplicação ao processar dados não confiáveis. Afeta apps que usam essa função específica diretamente ou por dependências.

Detalhe técnico

CWE-502 (Desserialização de Dados Não Confiáveis): A função `Data.init(base32Encoded:)` no Vapor ≤4.47.1 processa incorretamente entrada codificada em base32, permitindo que um atacante forneça dados maliciosos que desencadeiem exposição de memória ou negação de serviço. A exploração requer que a função vulnerável processe entrada controlada pelo atacante.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Vapor is a web framework for Swift. In versions 4.47.1 and prior, bug in the `Data.init(base32Encoded:)` function opens up the potential for exposing server memory and/or crashing the server (Denial of Service) for applications where untrusted data can end up in said function. Vapor does not currently use this function itself so this only impact applications that use the impacted function directly or through other dependencies. The vulnerability is patched in version 4.47.2. As a workaround, one may use an alternative to Vapor's built-in `Data.init(base32Encoded:)`.
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
vapor · vapor
CVEs relacionadas — vapor

No mesmo produto, das mais perigosas para as menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2021-21328MEDIUMDenial of ServiceEPSS 1.8%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2020-15230HIGHArbitrary file read un VaporEPSS 1.5%CVE-2023-44386MEDIUMIncorrect request error handling triggers server crash in VaporEPSS 0.7%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%