p PatchFirst

CVE-2019-16786

CVE-2019-16786 · HTTP Request Smuggling: Invalid Transfer-Encoding in Waitress

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Waitress through version 1.3.1 would parse the Transfer-Encoding header and only look for a single string value, if that value was not chunked it would fall through and use the Content-Length header instead. According to the HTTP standard Transfer-Encoding should be a comma separated list, with the inner-most encoding first, followed by any further transfer codings, ending with chunked. Requests sent with: "Transfer-Encoding: gzip, chunked" would incorrectly get ignored, and the request would use a Content-Length header instead to determine the body size of the HTTP message. This could allow for Waitress to treat a single request as multiple requests in the case of HTTP pipelining. This issue is fixed in Waitress 1.4.0.

CVSS 7.1 · Alta · EPSS 2,4% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • waitress

    Versiones
    • ≥ <= 1.3.1, ≤ 1.3.1: Afectada (custom)

    Sin corrección publicada

  • waitress Debian:12

    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.4.1-1

    Actualiza a 1.4.1-1

  • waitress Debian:13

    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.4.1-1

    Actualiza a 1.4.1-1

  • waitress Debian:14

    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.4.1-1

    Actualiza a 1.4.1-1

  • waitress PyPI

    Versiones
    • 0.1
    • 0.2
    • 0.3
    • 0.4
    • 0.5
    • 0.6
    • 0.6.1
    • 0.7
    • 0.8
    • 0.8.1
    • 0.8.10
    • 0.8.11b0
    • 0.8.2
    • 0.8.3
    • 0.8.4
    • 0.8.5
    • 0.8.6
    • 0.8.7
    • 0.8.8
    • 0.8.9
    • 0.9.0
    • 0.9.0b0
    • 0.9.0b1
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.0a1
    • 1.0a2
    • 1.1.0
    • 1.2.0
    • 1.2.0b1
    • 1.2.0b2
    • 1.2.0b3
    • 1.2.1
    • 1.3.0
    • 1.3.0b0
    • 1.3.1
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.4.0

    Actualiza a 1.4.0

  • waitress PyPI

    Versiones
    • 0.1
    • 0.2
    • 0.3
    • 0.4
    • 0.5
    • 0.6
    • 0.6.1
    • 0.7
    • 0.8
    • 0.8.1
    • 0.8.2
    • 0.8.3
    • 0.8.4
    • 0.8.5
    • 0.8.6
    • 0.8.7
    • 0.8.8
    • 0.8.9
    • 0.8.10
    • 0.8.11b0
    • 0.9.0b0
    • 0.9.0b1
    • 0.9.0
    • 1.0a1
    • 1.0a2
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.1.0
    • 1.2.0b1
    • 1.2.0b2
    • 1.2.0b3
    • 1.2.0
    • 1.2.1
    • 1.3.0b0
    • 1.3.0
    Intervalos de versiones afectados
    • GIT: < f11093a6b3240fc26830b6111e826128af7771c3
    • ECOSYSTEM: < 1.3.1

    Actualiza a 1.3.1

  • waitress Ubuntu:16.04:LTS

    Versiones
    • 0.8.9-2ubuntu1
    • 0.8.10-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • waitress Ubuntu:18.04:LTS

    Versiones
    • 1.0.1-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →