方案更改重定向时 scrapy/scrapy 中的授权标头泄漏 (CVE-2024-1968)

CVE编号

CVE-2024-1968

利用情况

暂无

补丁情况

N/A

披露时间

2024-05-20

漏洞描述

在scrapy/scrapy中发现了一个问题，即在只改变协议（例如，从HTTPS到HTTP）但仍保持在同一域内的重定向过程中未删除授权头。这种行为违反了Fetch标准，该标准规定在跨域请求中改变协议、主机或端口时必须移除授权头。因此，当重定向从HTTPS降级为HTTP时，授权头可能会意外暴露为明文文本，导致可能向未经授权的用户披露敏感信息。漏洞位于重定向中间件的_build_redirect_request函数中。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://github.com/scrapy/scrapy/commit/1d0502f25bbe55a22899af915623fda1aaeb9dd8
https://huntr.com/bounties/27f6a021-a891-446a-ada5-0226d619dd1a

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 无
• 保密性 高
• 完整性 无

CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

CWE-ID	漏洞类型
CWE-200	信息暴露

Exp相关链接

- avd.aliyun.com