BDU:2024-10889

Уязвимость функции channel_request_lookahead() WSGI сервера для python Waitress, позволяющая нарушителю отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling

Опубликовано: 2024-12-09

Описание

Уязвимость функции channel_request_lookahead() WSGI сервера для python Waitress связана с ошибками синхронизации при использовании общего ресурса в результате непоследовательной интерпретацией HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.8)Waitress (до 3.0.1)ОСОН ОСнова Оnyx (до 3.1)

Способ устранения

Использование рекомендаций:
https://github.com/Pylons/waitress/commit/e4359018537af376cf24bd13616d861e2fb76f65
https://github.com/Pylons/waitress/releases/tag/v3.0.1

Компенсирующие меры:
Рекомендуется отключить функцию чтения запросов channel_request_lookahead, установив значение 0.

Для ОС Astra Linux:
обновить пакет waitress до 2.1.2-2.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения waitress до версии 2.1.2-2+deb12u1

Оценка CVSS

Балл	9.4 — критическая опасность

Источники и патчи

https://github.com/Pylons/waitress/commit/e4359018537af376cf24bd13616d861e2fb76f65 https://github.com/Pylons/waitress/security/advisories/GHSA-9298-4cf8-g4wj https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/3.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена