CVE-2021-32837highCWE-1333

CVE-2021-32837: falha de alta gravidade em python-mechanize mechanize

mechanize vulnerable to ReDoS

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar mechanize+ Monitorar python-mechanize

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

26Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 29%
Em resumo

A biblioteca mechanize possui uma expressão regular vulnerável que pode ser explorada por um servidor web malicioso para derrubar a aplicação enviando respostas especialmente preparadas. Isso ocorre porque a regex leva tempo excessivo para processar certos padrões de entrada.

Detalhe técnico

A biblioteca mechanize anterior à versão 0.4.6 contém uma vulnerabilidade ReDoS (Negação de Serviço por Expressão Regular) em seu padrão regex (CWE-1333). Um atacante pode criar uma resposta HTTP maliciosa que provoca backtracking catastrófico no mecanismo regex, causando travamento ou falha da aplicação. O vetor de ataque não requer autenticação, apenas que a aplicação processe uma resposta de um servidor acessível pela rede.

Resumo gerado e traduzido por IA a partir da descrição oficial.
mechanize, a library for automatically interacting with HTTP web servers, contains a regular expression that is vulnerable to regular expression denial of service (ReDoS) prior to version 0.4.6. If a web server responds in a malicious way, then mechanize could crash. Version 0.4.6 has a patch for the issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
python-mechanize · mechanize