BDU:2021-04898 (CVE-2021-32677)

Уязвимость веб-фреймворка для создания API с помощью языка программирования Python FastAPI, связанная с подделкой межсайтовых запросов, позволяющая нарушителю получить доступ к конфиденциальным данным и нарушить их целостность

Опубликовано: 2021-10-05

Описание

Уязвимость веб-фреймворка для создания API с помощью языка программирования Python FastAPI связана с ошибкой в cookies для аутентификации, т. к. в операциях пути получали полезную нагрузку JSON. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)Fastapi (до 0.65.2)

Способ устранения

Для Fastapi:
Использование рекомендаций производителя: https://github.com/tiangolo/fastapi/commit/fa7e3c996edf2d5482fff8f9d890ac2390dede4d

Для Debian:
Использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-32677

Оценка CVSS

Балл	5.8 — высокая опасность

Источники и патчи

https://github.com/tiangolo/fastapi/commit/fa7e3c996edf2d5482fff8f9d890ac2390dede4d https://nvd.nist.gov/vuln/detail/CVE-2021-32677 https://security-tracker.debian.org/tracker/CVE-2021-32677

Проверьте безопасность своего сайта и почты → Полная проверка домена