Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-03542

Опубликовано: 11 мар. 2024
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость обратного прокси сервера Containous Traefik связана с недостаточной обработкой исключительных состояний при обработке заголовков Content-Length в результате некорректно заданного параметра продолжительности чтения входящих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Containous

Наименование ПО

Traefik

Версия ПО

до 2.11.0 включительно (Traefik)
от 3.0.0 до 3.0.0-rc3 включительно (Traefik)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://github.com/traefik/traefik/security/advisories/GHSA-4vwx-54mw-vqfw
https://github.com/traefik/traefik/commit/240b83b77351dfd8cadb91c305b84e9d22e0f9c6
https://github.com/traefik/traefik/releases/tag/v2.11.2
https://github.com/traefik/traefik/releases/tag/v3.0.0-rc5
Компенсирующие меры:
При невозможности установки обновлений рекомендуется настроить параметр продолжительности чтения входящих запросов - readTimeout.
Более подробное описание доступно по ссылке:
https://doc.traefik.io/traefik/routing/entrypoints/#respondingtimeouts

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 73%
0.00753
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
redhat
почти 2 года назад

Traefik is an HTTP reverse proxy and load balancer. In affected versions sending a GET request to any Traefik endpoint with the "Content-length" request header results in an indefinite hang with the default configuration. This vulnerability can be exploited by attackers to induce a denial of service. This vulnerability has been addressed in version 2.11.2 and 3.0.0-rc5. Users are advised to upgrade. For affected versions, this vulnerability can be mitigated by configuring the readTimeout option.

CVSS3: 7.5
nvd
почти 2 года назад

Traefik is an HTTP reverse proxy and load balancer. In affected versions sending a GET request to any Traefik endpoint with the "Content-length" request header results in an indefinite hang with the default configuration. This vulnerability can be exploited by attackers to induce a denial of service. This vulnerability has been addressed in version 2.11.2 and 3.0.0-rc5. Users are advised to upgrade. For affected versions, this vulnerability can be mitigated by configuring the readTimeout option.

CVSS3: 7.5
debian
почти 2 года назад

Traefik is an HTTP reverse proxy and load balancer. In affected versio ...

CVSS3: 7.5
github
почти 2 года назад

Traefik vulnerable to denial of service with Content-length header

EPSS

Процентиль: 73%
0.00753
Низкий

7.5 High

CVSS3

7.8 High

CVSS2