Maxim Masutin

O TinyWeb é um servidor web escrito em Delphi para Win32. Versões anteriores à 2.02 estão suscetíveis a uma condição de Negação de Serviço (DoS) causada por esgotamento de memória. Um atacante remoto não autenticado pode enviar uma requisição HTTP POST para o servidor com um cabeçalho `Content-Length` muito grande, como `2147483647`. O servidor aloca memória para o corpo da requisição (`EntityBody`) continuamente enquanto processa o payload, sem quaisquer restrições de tamanho. Isso leva ao consumo de toda a memória disponível, causando finalmente a queda do servidor. Qualquer serviço hospedado usando o TinyWeb é potencialmente impactado. O problema é resolvido na versão 2.02, que introduz um limite `CMaxEntityBodySize` de 10MB para payloads recebidos.

O TinyWeb é um servidor web para Win32. Versões do TinyWeb HTTP Server anteriores à 1.98 contêm uma falha que permite a injeção de comandos do sistema operacional. Isso ocorre através de parâmetros de consulta no estilo CGI ISINDEX, que são passados como argumentos de linha de comando para um executável CGI usando a função `CreateProcess()` do Windows. Um atacante remoto que não precisa estar autenticado pode executar comandos arbitrários no servidor injetando metacaracteres do shell do Windows em solicitações HTTP. Os parâmetros vulneráveis são passados para a função `CreateProcess()`.