漏洞详情

CVE ID: CVE-2023-44386

影响组件: github.com/vapor/vapor (Swift)

受影响版本: >= 4.83.2, < 4.84.2

已修复版本: 4.84.2

漏洞描述: Vapor框架在解析HTTP 1.x请求时，对遇到的错误处理不当，由于API误用触发了swift-nio中的先决条件失败（precondition failure），从而导致服务器进程立即终止。

影响

这是一个拒绝服务漏洞，影响所有使用受影响版本Vapor的用户。由于崩溃是明确的断言失败，不会导致进程状态损坏，也没有数据泄露或未经授权的代码执行风险。总体影响仅限于可立即恢复的服务中断。

修复与缓解

补丁: 该问题已在Vapor 4.84.2版本中修复。

临时解决方案: 目前没有已知的变通方法。

技术细节与参考

弱点类型: CWE-231 - 额外值的处理不当

CVSS 3.1 评分: 5.3 (中危)

• 攻击向量: 网络
• 攻击复杂度: 低
• 所需权限: 无
• 用户交互: 无
• 范围: 未改变
• 机密性影响: 无
• 完整性影响: 无
• 可用性影响: 低

相关链接:

• GHSA-3mwq-h3g6-ffhm
• NVD漏洞详情
• 修复提交: vapor/vapor@090464a
• Vapor 4.84.2 发布说明

致谢: 该漏洞由 @t0rchwo0d 报告并负责任地披露。