Podatności Mojolicious

Mojolicious to framework webowy czasu rzeczywistego dla Perla. Przed wersją 9.48 pomocniki CSRF csrf_field, csrf_token i csrf_protect używają niezmienionego tokenu na sesję w renderowanym HTML. Gdy włączona jest kompresja odpowiedzi, a treść pod wpływem atakującego jest odbijana w tej samej odpowiedzi, nieuwierzytelniony atakujący, który może wywołać wiele żądań ofiary i obserwować rozmiary odpowiedzi, może wykorzystać kanał boczny kompresji BREACH do odzyskania tokenu i sfałszowania żądań cross-site. Wdrożenia tylko API, które nigdy nie renderują tokenu w HTML, nie są podatne. Problem naprawiono w wersji 9.48.

Mojolicious to framework webowy czasu rzeczywistego dla języka Perl. Przed wersją 9.47, czysto-perlowa implementacja Mojo::JSON nie ogranicza głębokości zagnieżdżenia, gdy Cpanel::JSON::XS jest niedostępny lub włączono MOJO_NO_JSON_XS. Atakujący, który może dostarczyć niezaufany JSON do decode_json, from_json lub j, może przesłać głęboko zagnieżdżone tablice lub obiekty, powodując nieograniczoną rekurencję, wyczerpanie pamięci i awarię procesu. Aplikacje korzystające z backendu Cpanel::JSON::XS nie są dotknięte, ponieważ ten backend już egzekwuje limit głębokości. Problem naprawiono w wersji 9.47.

Podatność w bibliotece Mojolicious dla Perla (wersje od 4.59 do 9.48) ujawnia stabilną reprezentację tokena CSRF sesji, co umożliwia atak BREACH. Token jest generowany raz na sesję i zwracany w ukrytym polu `csrf_token`, a gdy odpowiedź zawiera dane kontrolowane przez atakującego i jest kompresowana gzip, możliwe jest odtworzenie tokena.