Критическая RCE-уязвимость в Tinyproxy затронула 50 000 серверов

☠️ Более 50% из 90 310 серверов, использующих прокси-инструмент Tinyproxy, уязвимы из-за критической ошибки, получившей обозначение CVE-2023-49606 и оценку в 9,8 из 10 баллов по шкале CVSS. Ошибка классифицируется как уязвимость типа «Use-After-Free» в версиях Tinyproxy 1.10.0 и 1.11.1.

🌚 Согласно отчету Cisco Talos, отправка специально сформированного HTTP-заголовка может привести к повторному использованию уже освобожденной памяти, вызывая ее повреждение, что может привести к выполнению удаленного кода.

😲 Хотя Talos сообщила об уязвимости 22 декабря 2023 года, команда Tinyproxy узнала о проблеме только 5 мая 2024 года из-за ошибки в коммуникации. Таким образом, серверы оставались уязвимыми почти полгода из-за сбоя в процессе оповещения.

#Tinyproxy #RCE #0day #УязвимостьВПО

@ZerodayAlert