Kritische Use-After-Free-Schwachstelle in Tinyproxy

Eine kritische Use-After-Free-Schwachstelle (CWE-416) wurde in den Versionen 1.11.1 und 1.10.0 von Tinyproxy entdeckt. Diese Schwachstelle CVE-2023-49606 ermöglicht es Angreifern, durch speziell gestaltete HTTP-Header Speicherbereiche, die bereits freigegeben wurden, erneut zu verwenden, was zu Speicherkorruption führen kann. Dies könnte potenziell die Ausführung von Remote-Code ermöglichen.

Tinyproxy ist ein leichtgewichtiger, Open-Source HTTP-Proxy-Daemon, der für seine Einfachheit und Effizienz bekannt ist. Die Schwachstelle entsteht durch die unsachgemäße Handhabung der HTTP-Connection-Header während der Parsing-Prozesse. Ein Angreifer kann diese Schwachstelle ausnutzen, indem er eine unauthentifizierte HTTP-Anfrage an den betroffenen Server sendet.

Der Schwachstellenbewertung zufolge weist der Fehler einen CVSSv3-Score von 9.8 / 10 und ermöglicht es einem Angreifer beliebigen Code im Kontext des Proxyservers auszuführen.

Zum Zeitpunkt der Veröffentlichung gab es noch keine Reaktion des Herstellers oder einen verfügbaren Patch. Nutzer von Tinyproxy werden dringend dazu aufgefordert, die Entwicklung zu verfolgen und auf ein Update zu warten, das diesen Fehler behebt.

Tags :

Related Posts

Sicherheitslücke im LG Simple Editor ermöglicht Fernzugriff auf TV Systeme

Eine schwerwiegende Sicherheitslücke wurde im LG Simple Editor entdeckt, die es Angreifern ermöglicht, aus der Ferne beliebigen Code auf betroffenen Systemen auszuführen. Die Schwachstelle, bekannt unter der Kennung CVE-2023-40493, erfordert keine Authentifizierung zur Ausnutzung und hat einen kritischen CVSS-Score von 9.8 / 10 erhalten.

Read More

SQL Injection Schwachstelle in PostgreSQL Java Treiber pgjdbc

Eine schwerwiegende Sicherheitslücke wurde im PostgreSQL JDBC-Treiber (pgjdbc) identifiziert, die eine SQL-Injection ermöglicht. Die Schwachstelle, bekannt unter der CVE-ID CVE-2024-1597, betrifft mehrere Versionen des Treibers und wurde als kritisch mit einem CVSS-Score von 10.0 / 10.0 eingestuft.

Read More

FC Basel 1893 meldet Angriff auf IT-Systeme

Laut einem Tweet wurde der FC Basel 1893 wurde am 3.5.2024 von einem Cyberangriff getroffen. Als Reaktion darauf wurden die betroffenen Systeme automatisch heruntergefahren, um weiteren Schaden zu verhindern. Der Verein versichert, dass zu keinem Zeitpunkt Daten kompromittiert wurden und die Sicherheit aller Informationen gewährleistet ist.

Read More