CVE-2023-26138

O framework web C++ Drogon é vulnerável a injeção de CRLF em sua função addHeader: quando entrada não confiável é usada para definir um cabeçalho de requisição, um atacante pode injetar sequências de carriage-return/line-feed e contrabandear cabeçalhos adicionais. O impacto é classificado como baixo em confidencialidade e integridade e requer que o caminho afetado processe entrada influenciada pelo atacante, então isto é manipulação de cabeçalhos e potencial response splitting, e não uma tomada de controle direta.

Problemas de injeção de CRLF/cabeçalho são úteis como ingredientes, envenenamento de cache, response splitting ou manipulação de comportamento downstream, mais do que como exploits autônomos, e dependem de a aplicação de fato passar entrada de usuário para chamadas de definição de cabeçalho. Não há uma dinâmica ampla e não autenticada de exploração em massa aqui; o risco é proporcional a como uma dada aplicação construída sobre o Drogon usa addHeader com dados não confiáveis.

Isto é, para nós, uma questão de dependência e uso. O Drogon é um framework compilado dentro de aplicações, então identificamos quais serviços o utilizam como base e, mais especificamente, quais deles alimentam addHeader com valores controlados pelo usuário, esse padrão de uso, não a mera presença do framework, é o que determina a exposição. Classificamos como moderado e conduzimos a remediação por meio da atualização da dependência e da sanitização das entradas de cabeçalho nos serviços afetados.