Vulnérabilité dans hyper (CVE-2021-21299)
Résumé
Vulnérabilité dans hyper (CVE-2021-21299). L'exploitation peut entraîner la prise de contrôle totale du système. Atténuation : mise à jour vers 0.12.36 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
hyper is an open-source HTTP library for Rust (crates.io). In hyper from version 0.12.0 and before versions 0.13.10 and 0.14.3 there is a vulnerability that can enable a request smuggling attack. The HTTP server code had a flaw that incorrectly understands some requests with multiple transfer-encoding headers to have a chunked payload, when it should have been rejected as illegal. This combined with an upstream HTTP proxy that understands the request payload boundary differently can result in "request smuggling" or "desync attacks". To determine if vulnerable, all these things must be true: 1) Using hyper as an HTTP server (the client is not affected), 2) Using HTTP/1.1 (HTTP/2 does not use transfer-encoding), 3) Using a vulnerable HTTP proxy upstream to hyper. If an upstream proxy correctly rejects the illegal transfer-encoding headers, the desync attack cannot succeed. If there is no proxy upstream of hyper, hyper cannot start the desync attack, as the client will repair the headers before forwarding. This is fixed in versions 0.14.3 and 0.13.10. As a workaround one can take the following options: 1) Reject requests that contain a transfer-encoding header, 2) Ensure any upstream proxy handles transfer-encoding correctly.
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2021-21299 a été découverte dans hyper.
L'exploitation peut entraîner la prise de contrôle totale du système.
Action : mettez à jour hyper vers 0.12.36 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « hyper CVE-2021-21299 » sur le site de l'éditeur.
CVE-2021-21299 (hyper) — CWE-444
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Correctif : 0.12.36 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-444) affecte hyper.
Consultez l'avis de l'éditeur pour les versions affectées de hyper.
Gravité : ?. L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 0.12.36.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'hyper' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
hyperを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade hyper to 0.12.36ステージング環境で 0.12.36 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2021-21299 rust-hyper Corrigé dans: 0.14.19-1
- Ubuntu UBUNTU-CVE-2021-21299 rust-hyper
Références
- advisory github.com
- advisory nvd.nist.gov
- advisory portswigger.net
- advisory rustsec.org
- advisory crates.io
- package github.com
- patch github.com