CVE-2024-7592 em Python: como a análise de cookies pode consumir CPU

Publicado em 2026-10-27 por frfrand

Um DoS no http.cookies do Python: o que é complexidade quadrática, como foi detectado, onde afeta e o que atualizar.

Pode um cookie deixar uma API lenta?

Sim. Normalmente, os cookies são dados pequenos que acompanham solicitações HTTP. Mas quando seu formato é processado com um algoritmo ineficiente, uma entrada especialmente construída pode exigir muito trabalho do servidor. CVE-2024-7592 descreve esse problema no módulo padrão http.cookies do CPython.

O que falhava?

Ao analisar valores de cookie com determinados caracteres de escape, o analisador podia realizar trabalho de complexidade quadrática: se uma entrada crescesse, o tempo necessário para processá-la aumentava desproporcionalmente. Isso é conhecido como abuso algorítmico ou negação de serviço por consumo de CPU. Não é um problema de autenticação nem uma execução remota de código.

Quem descobriu e como foi corrigido?

O incidente foi registrado no projeto CPython na issue #123067 em agosto de 2024, com testes de comportamento do método http.cookies._unquote(). A comunidade preparou uma alteração para evitar a complexidade problemática. O aviso de segurança do Python, distribuído por Seth Larson, classificou o problema em sua comunicação como de gravidade baixa. Alguns bancos de dados podem mostrar outra etiqueta por critérios distintos; ao priorizar, convém olhar o escopo real.

Como alguém poderia explorá-lo?

Um atacante capaz de enviar cabeçalhos HTTP ou entradas processadas pela função afetada poderia fazer com que o servidor dedicasse mais CPU do que o esperado para analisar um valor. Se o aplicativo aceitar solicitações suficientes e os limites permitirem, o serviço pode ficar lento ou parar de responder. A execução depende de os dados passarem pela função vulnerável; nem todos os programas escritos em Python a utilizam.

Afeta o Django, Flask ou FastAPI?

O relatório técnico examinou também cenários onde um framework utiliza o analisador de cookies do Python. Isso não significa que todos os apps em cada framework fossem exploráveis. É preciso estudar o parser escolhido, os limites do servidor HTTP e os componentes intermediários. Uma API que não usa esse caminho pode não estar exposta.

Onde foi publicada a solução?

O Python incorporou correções em suas atualizações de segurança de setembro de 2024, incluindo releases 3.12.6, 3.11.10, 3.10.15, 3.9.20 e 3.8.20. Essas versões documentam a primeira correção em ramos históricos, não o que instalar em 2026. Prefira uma linha vigente e os patches que sua distribuição mantém.

Como revisar um sistema?

Verifique a versão do Python em cada ambiente (produção, contêineres, tarefas), o código que utiliza cookies e as regras de tamanho de cabeçalho aplicadas pelo proxy e servidor. Veja se os picos de CPU coincidem com requisições anômalas. Faça testes de desempenho apenas em um ambiente controlado e com entradas de tamanho razoável, sem enviar cargas agressivas a serviços públicos.

Como se mitiga?

Atualize o interpretador e reconstrua imagens ou ambientes virtuais para que realmente utilizem uma versão corrigida. Configure limites de cabeçalhos, timeouts e capacidade do serviço conforme suas necessidades; adicione métricas e alertas. Um proxy pode ajudar, mas não substitui a correção do parser.

Perguntas frequentes

CVE-2024-7592 permite roubar sessões? A falha documentada é de consumo de CPU, não de vazamento de cookies.

Tenho que mudar o Django? Depende do caminho e de como chega à biblioteca padrão; a atualização do Python é central.

Por que uma vulnerabilidade de baixa gravidade importa? Porque uma pequena ineficiência pode afetar a disponibilidade se o serviço estiver exposto ou for muito sensível à latência.

Fontes: Anúncio oficial de segurança Python · Issue CPython #123067 · Lançamentos de setembro de 2024.

Onde as informações são atualizadas e como solicitar orientação?

Em ArduMaker — CVE e suporte mantemos informações para revisar incidentes e canalizar consultas, especialmente em WordPress e nas tecnologias que o executam. Para avaliar um caso concreto, informe tecnologia, versão, sistema operacional, modo de implantação e mensagens de erro relevantes sem publicar credenciais. Um CVE anunciado não significa que todos os sistemas estejam comprometidos.

Revisão editorial: 27 de outubro de 2026. As recomendações podem mudar com novas publicações do fabricante.

Exemplo prático: um cookie inofensivo e um parser vulnerável

Situação: um aplicativo Python transforma o cabeçalho Cookie em dados de sessão. Embora a maioria dos valores seja pequena, a CVE-2024-7592 mostrou que certas entradas podem fazer com que o parser use muita CPU.

Para entender o componente sem simular um ataque:

from http.cookies import SimpleCookie

cookies = SimpleCookie()
cookies.load("idioma=es; tema=oscuro")
print({nombre: item.value for nombre, item in cookies.items()})

Antes: runtime antigo e ausência de limites e observabilidade. Depois: Python corrigido no ambiente executado, limites de tamanho de cabeçalhos no servidor frontal e métricas de CPU e latência.

Exemplo de investigação: se você vir picos de CPU relacionados a requisições HTTP, cruze registros do proxy com tempos de processamento do aplicativo. Não atribua todo pico a esta CVE: procure a versão afetada e o uso real de http.cookies.

Para não confundir: esta vulnerabilidade se refere à disponibilidade, não a roubar senhas dos cookies.