CVE-2021-4236

Esta é uma falha de lógica em um hook de autenticação de WebSocket: quando um AuthenticateMethod está configurado, as conexões WebSocket não o invocam de fato, de modo que o ponteiro UserData retornado permanece nulo. Código que assume que esse ponteiro é não nulo sofre uma desreferência de ponteiro nulo e, mais gravemente, a verificação de autenticação que o desenvolvedor pretendia simplesmente não roda — um bypass de autenticação. Crucialmente, a descrição delimita isso de forma estrita: apenas WebSockets que usam um hook AuthenticateMethod são afetados, e handlers que não são WebSocket não são vulneráveis de forma alguma.

Essa delimitação é toda a história para a priorização. O crítico 9.8 assume o pior caso — bypass remoto não autenticado de uma barreira de autenticação pretendida —, mas ele só se materializa em aplicações que tanto usam os WebSockets desta biblioteca quanto configuraram um AuthenticateMethod que acreditavam estar protegendo-as. Onde se aplica, a consequência é real: o controle de autenticação está silenciosamente ausente, de modo que um atacante alcança funcionalidades que o desenvolvedor julgava protegidas, ou trava o serviço por meio da desreferência nula. Onde não se aplica, o CVE é simplesmente inerte.

Nossa abordagem é o inventário de caminhos de código, em vez de aplicação generalizada de patches, com triagem honesta de aplicabilidade. O registro nomeia um projeto genericamente intitulado "web", então a primeira tarefa é identificar se algum de nossos serviços de fato depende da biblioteca afetada e usa especificamente WebSockets com um hook AuthenticateMethod. Essa condição estreita é a verdadeira superfície de ataque; serviços que a atendem são tratados como se não tivessem autenticação de WebSocket alguma até serem atualizados, enquanto todo o resto é um não-problema que podemos descartar com confiança, em vez de deixar um rótulo 9.8 inflar.