CVE-2020-37056: Contorno de autenticação por spoofing de IP no http-protection para Crystal

Visão geral

O http-protection 0.2.0 é um shard para Crystal cujo middleware de proteção pode ser contornado por meio de cabeçalhos de requisição manipulados, conforme descrito no aviso da VulnCheck e no registro CVE no cve.org. A fraqueza é classificada como CWE-290, bypass de autenticação por falsificação.

Impacto

A descrição indica que atacantes podem contornar verificações de proteção e obter acesso não autorizado.
O vetor CVSS 3.1 informado pela VulnCheck (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) descreve uma falha acessível pela rede, de baixa complexidade, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. A pontuação base é 9.8.
O mesmo fornecedor também lista uma pontuação CVSS 4.0 de 6.9.

Produtos e versões afetadas

O produto descrito é o shard http-protection, na versão 0.2.0.
O registro não contém lista estruturada de versões afetadas ou corrigidas, portanto não é possível afirmar se outras versões são impactadas. Essa informação é desconhecida.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA, e as fontes consultadas não confirmam exploração ativa.
As referências incluem uma entrada na Exploit-DB. Sua existência é registrada aqui, mas o conteúdo não foi analisado nem reproduzido.

Correção e mitigação

O registro não identifica uma versão corrigida. A ausência de correção listada não significa que ela não exista, por isso vale consultar o repositório upstream em busca de atualizações do mantenedor.
Não dependa exclusivamente de cabeçalhos de IP encaminhado enviados pelo cliente para controle de acesso. Aceite esses cabeçalhos apenas de proxies sob seu controle e configure a aplicação para ignorá-los nos demais casos.
Onde o shard for usado, revise se decisões de acesso dependem de listas de IP permitidos e adicione controles de autenticação independentes.
Caso não haja correção disponível, considere substituir ou isolar o componente afetado.

Orientação para detecção

Registre e revise requisições que contenham os cabeçalhos X-Forwarded-For, X-Client-IP ou X-Real-IP, sobretudo quando o mesmo valor aparecer em muitas requisições ou divergir da origem de conexão observada.
Gere alertas para acessos a endpoints protegidos originados de endereços incompatíveis com o caminho de rede esperado ou com o histórico do usuário autenticado.

Limitações das informações disponíveis

O registro tem status de origem Deferred e não contém dados de EPSS ou SSVC.
Não há análise técnica da causa raiz, texto de aviso do fornecedor nem versão corrigida verificada no registro.
As versões afetadas além da 0.2.0 e o alcance completo das implantações impactadas são desconhecidos.

Perguntas frequentes

A CVE-2020-37056 é explorada ativamente?

O registro não a inclui no catálogo KEV da CISA, e as fontes consultadas não confirmam exploração ativa. Há uma referência à Exploit-DB, mas seu conteúdo não foi analisado aqui.

Qual é a severidade desta vulnerabilidade?

A VulnCheck informa pontuação base CVSS 3.1 de 9.8 (crítica) e pontuação CVSS 4.0 de 6.9. O registro não traz pontuação de outro fornecedor.

Qual versão é afetada e há correção disponível?

A descrição cita o http-protection 0.2.0. O registro não lista versão corrigida, o que não significa que não exista correção, por isso vale consultar o repositório upstream.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.