CVE-2024-58384

Nome do Software Vulnerável e Versões Afetadas Tornado versões anteriores a 6.4.1

Description A classe curl httpclient.CurlAsyncHTTPClient não rejeita caracteres de retorno de carro (r) e alimentação de linha ( ) nos cabeçalhos de requisição. Isso permite que atacantes injetem sequências CRLF nos valores dos cabeçalhos, possibilitando a inserção de cabeçalhos arbitrários ou a construção de requisições HTTP inteiramente novas. O problema ocorre porque o cliente não valida os nomes e valores dos cabeçalhos, transmitindo-os literalmente para o libcurl e pycurl, que também carecem de validação para a opção HTTPHEADER. Este comportamento pode facilitar a exploração de vulnerabilidades de server-side request forgery (SSRF).

Recommendations Atualize o Tornado para a versão 6.4.1 ou posterior. Como medida paliativa temporária, restrinja o uso da classe curl httpclient.CurlAsyncHTTPClient ao lidar com dados de cabeçalho não confiáveis.