Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-03549

Опубликовано: 01 мая 2024
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Высокий

Описание

Уязвимость комопнента обработки заголовков HTTP-запросов демона прокси-сервера Tinyproxy связана с возможностью использования памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём отправки специально сформированных HTTP-запросов

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Tinyproxy

Версия ПО

1.11.1 (Tinyproxy)
1.10.0 (Tinyproxy)

Тип ПО

Сетевое средство

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к устройствам;
- использование систем обнаружения и предотвращения вторжений для контроля попыток эксплуатации уязвимости;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций производителя:
https://github.com/tinyproxy/tinyproxy
https://github.com/tinyproxy/tinyproxy/commit/12a8484265f7b00591293da492bb3c9987001956

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 99%
0.77508
Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2023-49606

CVSS3: 9.8
ubuntu
почти 2 года назад

A use-after-free vulnerability exists in the HTTP Connection Headers parsing in Tinyproxy 1.11.1 and Tinyproxy 1.10.0. A specially crafted HTTP header can trigger reuse of previously freed memory, which leads to memory corruption and could lead to remote code execution. An attacker needs to make an unauthenticated HTTP request to trigger this vulnerability.

nvd логотип

CVE-2023-49606

CVSS3: 9.8
nvd
почти 2 года назад

A use-after-free vulnerability exists in the HTTP Connection Headers parsing in Tinyproxy 1.11.1 and Tinyproxy 1.10.0. A specially crafted HTTP header can trigger reuse of previously freed memory, which leads to memory corruption and could lead to remote code execution. An attacker needs to make an unauthenticated HTTP request to trigger this vulnerability.

debian логотип

CVE-2023-49606

CVSS3: 9.8
debian
почти 2 года назад

A use-after-free vulnerability exists in the HTTP Connection Headers p ...

github логотип

GHSA-w78j-vw2g-233v

CVSS3: 9.8
github
почти 2 года назад

A use-after-free vulnerability exists in the HTTP Connection Headers parsing in Tinyproxy 1.11.1 and Tinyproxy 1.10.0. A specially crafted HTTP header can trigger reuse of previously freed memory, which leads to memory corruption and could lead to remote code execution. An attacker needs to make an unauthenticated HTTP request to trigger this vulnerability.

suse-cvrf логотип

openSUSE-SU-2024:0119-1

suse-cvrf
больше 1 года назад

Security update for tinyproxy

EPSS

Процентиль: 99%
0.77508
Высокий

9.8 Critical

CVSS3

10 Critical

CVSS2