CVE-2021-33621: Tách phản hồi HTTP trong CGI

Đăng bởi mame vào 22 Nov 2022

Chúng tôi đã phát hành gem cgi phiên bản 0.3.5, 0.2.2 và 0.1.0.2 với bản vá bảo mật cho lỗ hổng tách phản hồi HTTP. Lỗ hổng này đã được gán mã CVE CVE-2021-33621.

Chi tiết

Nếu một ứng dụng tạo phản hồi HTTP sử dụng gem cgi với đầu vào không tin cậy từ người dùng, kẻ tấn công có thể khai thác nó để chèn header và/hoặc body phản hồi HTTP độc hại.

Ngoài ra, nội dung của đối tượng CGI::Cookie không được kiểm tra đúng cách. Nếu một ứng dụng tạo đối tượng CGI::Cookie dựa trên đầu vào từ người dùng, kẻ tấn công có thể khai thác nó để chèn các thuộc tính không hợp lệ trong header Set-Cookie. Chúng tôi cho rằng các ứng dụng như vậy ít có khả năng xảy ra, nhưng chúng tôi đã bao gồm một thay đổi để kiểm tra tham số cho CGI::Cookie#initialize nhằm phòng ngừa.

Vui lòng cập nhật gem cgi lên phiên bản 0.3.5, 0.2.2 và 0.1.0.2 hoặc mới hơn. Bạn có thể sử dụng gem update cgi để cập nhật. Nếu bạn đang sử dụng bundler, vui lòng thêm gem "cgi", ">= 0.3.5" vào Gemfile của bạn.

Các phiên bản bị ảnh hưởng

• gem cgi 0.3.3 trở về trước
• gem cgi 0.2.1 trở về trước
• gem cgi 0.1.1 hoặc 0.1.0.1 hoặc 0.1.0

Ghi công

Cảm ơn Hiroshi Tokumaru đã phát hiện vấn đề này.

Lịch sử

• Công bố lần đầu vào 2022-11-22 02:00:00 (UTC)