بیش از 50 درصد از تعداد 90.310 هاست موجود با سرویس Tinyproxy در اینترنت، در معرض یک نقض امنیتی وصله نشده حیاتی در ابزار پروکسی HTTP/HTTPS هستند.
این آسیب پذیری با شماره CVE-2024-49606 و امتیاز 9.8 است که روی نسخه های 1.11.1 و 1.10.0 اثر می گذارد.
در گزارشی Cisco جزییات بیشتری در خصوص این آسیب پذیری شامل اکسپلویت های PoC که در سرور اختلال ایجاد می کند و می تواند به صورت بالقوه امکان اجرای کد از راه دور را به مهاجم بدهد، را منتشر نموده است. در این گزارش آمده است که آسیب پذیری در تابع remove_connection_headers() رخ میدهد زمانی که هدرهای خاص HTTP به صورت صحیح مدیریت نشوند، منجر به آزاد سازی حافظه شده و سپس دسترسی نادرست می شود.
این آسیب پذیری می تواند به راحتی با یک درخواست جعلی HTTP ساده مورد بهره برداری قرار گیرد.
به گزارش Censys حدود 90 هزار سرویس آنلاین Tinyproxy مشاهده شده است که حدود 57% از آنها آسیب پذیرند. بیشتر این سرویسهای آسسیب پذیر در آمریکا، کره جنوبی، چین، فرانسه و آلمان قرار گرفته اند. 
در نهایت 5 روز پس از افشای این آسیب پذیری توسط Cisco، تیم Tinyproxy یک وصله برای این آسیب پذیری منتشر نمود. به گفته Tinyproxy این آسیب پذیری مهم بوده اما هنوز اکسپلویتی از آن دیده نشده است و در صورت نیاز فوری می توان به صورت دستی این وصله جدید را تا انتشار نسخه بعدی اعمال کرد.
منبع:
