CVE-2023-23969

Django, en las ramas afectadas 3.2, 4.0 y 4.1, almacena en caché los valores analizados de las cabeceras Accept-Language para evitar reanalizarlas, y esa caché puede ser llevada a un uso excesivo de memoria por un valor de cabecera bruto muy grande. El resultado es una denegación de servicio remota sin autenticar: sin inicio de sesión, sin interacción, solo cabeceras sobredimensionadas que empujan el consumo de memoria hasta que el servicio se degrada. La disponibilidad es lo único en juego, la integridad y la confidencialidad quedan intactas.

Los errores de solo DoS se ubican un peldaño por debajo de los titulares de RCE e inyección, pero un vector de agotamiento de recursos trivialmente remoto y sin autenticar contra un framework web popular vale la pena parchearlo a tiempo porque es barato de desencadenar para un atacante y difícil de distinguir de la carga. Es improbable que sea la pieza central de una campaña dirigida, pero es el tipo de cosa que se integra en disrupción de estrés o de estilo extorsivo.

Nuestra palanca es el inventario de dependencias: la versión de Django es conocible desde los archivos de bloqueo y los requirements, así que podemos enumerar qué aplicaciones ejecutan una versión afectada y llevarlas a la versión de parche correspondiente. Mientras tanto, un proxy en la parte superior que limite el tamaño de las cabeceras de solicitud neutraliza el desencadenante de la cabecera sobredimensionada, dándonos un parche virtual rápido mientras se programan las actualizaciones del framework en los servicios.