CVE-2017-14158

Wysokie

Opublikowano: 05/09/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Scrapy w wersji 1.4 pozwala zdalnym atakującym na wywołanie odmowy usługi (zużycie pamięci) poprzez przesyłanie dużych plików, ponieważ dowolna liczba plików jest ładowana do pamięci. Problem ten nasila się, gdy pliki są następnie zapisywane w osobnym wątku do wolnego zasobu pamięci masowej.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do wyczerpania zasobów pamięci, co prowadzi do awarii aplikacji i przestojów w działaniu systemu.

Rekomendacja

Zaleca się aktualizację do nowszej wersji Scrapy, która naprawia tę podatność oraz monitorowanie użycia pamięci aplikacji w celu wczesnego wykrywania potencjalnych ataków.

Inne podatności w Scrapy 1.4

CVE-2026-84366Wysokie
Scrapy, framework do web crawlingu i scrapingu w Pythonie, przed wersją 2.17.0 ma podatność w scrapy/core/downloader/handlers/s3.py, gdzie S3DownloadHandler konwertuje żądanie z schematem S3 na zwykłe żądanie HTTP do odpowiedniego punktu końcowego S3, chyba że request.meta["is_secure"] jest jawnie włączone, a następnie podpisuje i wysyła to żądanie z skonfigurowanymi poświadczeniami AWS. Atakujący sieciowy, który może obserwować ruch między Scrapy a S3, może odczytać ścieżkę bucket i klucz, nagłówek Authorization AWS, X-Amz-Security-Token przy użyciu tymczasowych poświadczeń, zawartość obiektów S3 i nagłówki odpowiedzi S3. Aktywny atakujący man-in-the-middle może również modyfikować treść odpowiedzi S3, kod statusu i nagłówki przed przetworzeniem przez Scrapy, powodując zatrucie danych scrapowanych, zatrucie eksportów, zatrucie pamięci podręcznej HTTP, gdy buforowanie jest włączone, lub wpływ na późniejsze cele crawl poprzez sfałszowane przekierowania lub linki kontrolowane przez atakującego.

Oryginalny opis (angielski, źródło NVD)

Scrapy 1.4 allows remote attackers to cause a denial of service (memory consumption) via large files because arbitrarily many files are read into memory, which is especially problematic if the files are then individually written in a separate thread to a slow storage resource, as demonstrated by interaction between dataReceived (in core/downloader/handlers/http11.py) and S3FilesStore.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS