Litestar y Starlite afectados por una Limitación Inadecuada de una Ruta a un Directorio Restringido ('Path Traversal')

La vulnerabilidad de recorrido de ruta en Litestar permite a un atacante leer archivos arbitrarios en el sistema de archivos del servidor. Esto podría incluir archivos de configuración, claves privadas, código fuente o cualquier otro archivo al que el proceso de Litestar tenga acceso. Un atacante podría utilizar esta vulnerabilidad para obtener información confidencial, modificar archivos del sistema o incluso ejecutar código malicioso si tiene los permisos necesarios. El impacto potencial es significativo, pudiendo comprometer la integridad y confidencialidad de los datos almacenados en el servidor. La naturaleza de la vulnerabilidad LFI la hace similar a otras explotaciones que buscan la divulgación de información sensible a través del acceso no autorizado a archivos.

Applications and services built using Litestar, particularly those serving static content, are at risk. This includes deployments utilizing custom static file serving configurations or those with inadequate input validation. Shared hosting environments where multiple applications share the same server and file system are also particularly vulnerable.

• python / server:

import os
import requests

url = 'http://your-litestar-server/static/../../../../etc/passwd' # Example path traversal attempt
response = requests.get(url)

if response.status_code == 200:
    print('Potential vulnerability detected: Path traversal successful!')
    print(response.text)
else:
    print('Path traversal attempt failed.')

• linux / server:

journalctl -u litestar -f | grep "path traversal"

• generic web:

curl -I http://your-litestar-server/static/../../../../etc/passwd

Check the response headers for any unexpected content or errors.

1. 2024-05-06Disclosure

   disclosure

1. Reservado2024-04-22
2. Publicada2024-05-06
3. Modificada2024-08-02
4. EPSS actualizado2026-04-02

La mitigación principal para CVE-2024-32982 es actualizar Litestar a la versión 2.8.3 o superior. Si la actualización no es inmediatamente posible, considere implementar medidas de seguridad adicionales. Restrinja el acceso a los archivos estáticos a través de una configuración de firewall o proxy inverso. Implemente reglas de WAF (Web Application Firewall) para bloquear solicitudes que contengan caracteres de recorrido de ruta (por ejemplo, '..'). Revise y endurezca los permisos de los archivos y directorios para limitar el acceso del proceso de Litestar solo a los archivos necesarios. Después de la actualización, confirme que la vulnerabilidad ha sido resuelta verificando que no se pueden acceder a archivos fuera de los directorios designados.