BDU:2024-09874
FriendFeed, ООО «Ред Софт» РЕД ОС, Tornado
2024-06-06
Уязвимость компонента CurlAsyncHTTPClient асинхронной сетевой библиотеки Tornado связана с непринятием мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально созданных HTTP-запросов на сервер
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Компенсирующие меры: - проверка входных данных в HTTP-запросах таких как \r (CR) и \n (LF); - использование функций кодирования для параметров запросов (headers, cookies, query string); - использование аналогичных HTTP-клиентов (httpx и aiohttp); - использование межсетевого экрана уровня приложений (WAF) для фильтрации пользовательского ввода;
Использование рекомендаций: Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/