p PatchFirst

CVE-2019-16785

CVE-2019-16785 · HTTP Request Smuggling: LF vs CRLF handling in Waitress

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Waitress through version 1.3.1 implemented a "MAY" part of the RFC7230 which states: "Although the line terminator for the start-line and header fields is the sequence CRLF, a recipient MAY recognize a single LF as a line terminator and ignore any preceding CR." Unfortunately if a front-end server does not parse header fields with an LF the same way as it does those with a CRLF it can lead to the front-end and the back-end server parsing the same HTTP message in two different ways. This can lead to a potential for HTTP request smuggling/splitting whereby Waitress may see two requests while the front-end server only sees a single HTTP message. This issue is fixed in Waitress 1.4.0.

CVSS 7.1 · Hoch · EPSS 2,5% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: system · python

Betroffene Produkte und Versionen

  • waitress

    Softwareversionen
    • ≥ <= 1.3.1, ≤ 1.3.1: Betroffen (custom)

    Keine Korrektur veröffentlicht

  • waitress Debian:12

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.4.1-1

    Auf 1.4.1-1 aktualisieren

  • waitress Debian:13

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.4.1-1

    Auf 1.4.1-1 aktualisieren

  • waitress Debian:14

    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.4.1-1

    Auf 1.4.1-1 aktualisieren

  • waitress PyPI

    Softwareversionen
    • 0.1
    • 0.2
    • 0.3
    • 0.4
    • 0.5
    • 0.6
    • 0.6.1
    • 0.7
    • 0.8
    • 0.8.1
    • 0.8.10
    • 0.8.11b0
    • 0.8.2
    • 0.8.3
    • 0.8.4
    • 0.8.5
    • 0.8.6
    • 0.8.7
    • 0.8.8
    • 0.8.9
    • 0.9.0
    • 0.9.0b0
    • 0.9.0b1
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0a1
    • 1.0a2
    • 1.1.0
    • 1.2.0
    • 1.2.0b1
    • 1.2.0b2
    • 1.2.0b3
    • 1.2.1
    • 1.3.0
    • 1.3.0b0
    • 1.3.1
    Betroffene Versionsbereiche
    • ECOSYSTEM: < 1.4.0

    Auf 1.4.0 aktualisieren

  • waitress PyPI

    Softwareversionen
    • 0.1
    • 0.2
    • 0.3
    • 0.4
    • 0.5
    • 0.6
    • 0.6.1
    • 0.7
    • 0.8
    • 0.8.1
    • 0.8.2
    • 0.8.3
    • 0.8.4
    • 0.8.5
    • 0.8.6
    • 0.8.7
    • 0.8.8
    • 0.8.9
    • 0.8.10
    • 0.8.11b0
    • 0.9.0b0
    • 0.9.0b1
    • 0.9.0
    • 1.0a1
    • 1.0a2
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.1.0
    • 1.2.0b1
    • 1.2.0b2
    • 1.2.0b3
    • 1.2.0
    • 1.2.1
    • 1.3.0b0
    • 1.3.0
    • 1.3.1
    Betroffene Versionsbereiche
    • GIT: < 8eba394ad75deaf9e5cd15b78a3d16b12e6b0eba
    • ECOSYSTEM: < 1.4.0

    Auf 1.4.0 aktualisieren

  • waitress Ubuntu:16.04:LTS

    Softwareversionen
    • 0.8.9-2ubuntu1
    • 0.8.10-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

  • waitress Ubuntu:18.04:LTS

    Softwareversionen
    • 1.0.1-1
    Betroffene Versionsbereiche
    • ECOSYSTEM: (−∞, +∞)

    Keine Korrektur veröffentlicht

Originalquellen

Prüfen Sie Ihren Server →