Sintesi

Disponibile un Proof of Concept (PoC) per la CVE-2023-49606 – già sanata dalla comunità di sviluppatori – presente nel daemon proxy HTTP open-source Tinyproxy. 

Tale vulnerabilità – di tipo “Use After Free” e con score CVSS v3.x pari a 9.8 – potrebbe essere sfruttata da un utente malevolo attraverso l’invio di richieste HTTP non autenticate con header opportunamente predisposti al fine di eseguire codice arbitrario da remoto sui sistemi target.

Tipologia

• Remote Code Execution

Prodotti e versioni affette

Tinyproxy, versioni 1.11.1 e 1.10.0

Azioni di mitigazione

Ove non provveduto, si raccomanda di aggiornare tempestivamente i prodotti vulnerabili all’ultima versione disponibile.

Identificatori univoci vulnerabilità

CVE-2023-49606

Riferimenti

https://github.com/tinyproxy/tinyproxy/commit/12a8484265f7b00591293da492bb3c9987001956

https://tinyproxy.github.io/

¹La presente stima è effettuata tenendo conto di diversi parametri, tra i quali: CVSS, disponibilità di patch/workaround e PoC, diffusione dei software/dispositivi interessati nella comunità di riferimento.