CVE-2023-23969

O Django nas ramificações afetadas 3.2, 4.0 e 4.1 armazena em cache os valores analisados dos cabeçalhos Accept-Language para evitar reanálise, e esse cache pode ser levado a uso excessivo de memória por um valor de cabeçalho bruto muito grande. O resultado é uma negação de serviço remota e não autenticada: sem login, sem interação, apenas cabeçalhos superdimensionados que empurram o consumo de memória até o serviço se degradar. A disponibilidade é a única coisa em jogo, integridade e confidencialidade permanecem intocadas.

Bugs de apenas DoS ficam um degrau abaixo das manchetes de RCE e injeção, mas um vetor de exaustão de recursos remoto, não autenticado e trivial contra um framework web popular vale um patch oportuno porque é barato para um atacante disparar e difícil de distinguir de carga. É improvável que seja o centro de uma campanha direcionada, mas é o tipo de coisa que se incorpora a disrupções de estresse ou de estilo extorsão.

Nossa alavanca é o inventário de dependências: a versão do Django é conhecível a partir de arquivos de lock e requirements, então podemos enumerar quais aplicações rodam um release afetado e atualizá-las para a versão de correção. No ínterim, um proxy upstream que limite o tamanho do cabeçalho de requisição neutraliza o gatilho do cabeçalho superdimensionado, dando-nos um patch virtual rápido enquanto as atualizações do framework são agendadas entre os serviços.