CVE-2023-44386mediumCWE-231CWE-617CWE-696

CVE-2023-44386: falha de média gravidade em vapor

Incorrect request error handling triggers server crash in Vapor

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar vapor

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.3epss 0.7%
Em resumo

Vapor, um framework web para Swift, quebra quando recebe requisições HTTP malformadas porque fecha conexões em vez de tratar os erros corretamente. Atacantes podem derrubar o serviço enviando requisições inválidas.

Detalhe técnico

Uma vulnerabilidade de negação de serviço no manipulador de erros HTTP/1 do Vapor permite que atacantes remotos sem autenticação derrubem o servidor enviando requisições HTTP malformadas. O framework fecha conexões em erros de análise HTTP em vez de tratá-los adequadamente, sem exigir privilégios ou interação do usuário. Corrigido no Vapor 4.84.2.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Vapor is an HTTP web framework for Swift. There is a denial of service vulnerability impacting all users of affected versions of Vapor. The HTTP1 error handler closed connections when HTTP parse errors occur instead of passing them on. The issue is fixed as of Vapor release 4.84.2.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
Produtos afetados
vapor · vapor
CVEs relacionadas — vapor

No mesmo produto, das mais perigosas para as menos.

CVE-2022-31005HIGHInteger Overflow in Vapor's HTTP Range RequestEPSS 2.1%CVE-2021-21328MEDIUMDenial of ServiceEPSS 1.8%CVE-2022-31019HIGHDoS Vulnerability in URLEncodedFormDecoder in VaporEPSS 1.7%CVE-2020-15230HIGHArbitrary file read un VaporEPSS 1.5%CVE-2021-32742HIGHUntrusted data fed into `Data.init(base32Encoded:)` can result in exposing server memory and/or crashEPSS 1.2%CVE-2024-21631MEDIUMInteger overflow in URI leading to potential host spoofingEPSS 0.6%