Hiawatha est un serveur web open-source connu pour ses performances, supportant plusieurs systèmes d'exploitation. Trois vulnérabilités ont été identifiées dans des versions spécifiques de Hiawatha. La fonction fetch_request souffre de request smuggling en raison d'une gestion incorrecte des en-têtes, ce qui pourrait permettre l'accès à des ressources restreintes. Le composant Tomahawk présente une vulnérabilité d'attaque temporelle d'authentification dans son client de gestion en raison de l'utilisation de strcmp. Une erreur de double libération de mémoire existe dans la fonction XSLT show_index, ce qui pourrait entraîner une corruption des données et l'exécution de code arbitraire. Ces vulnérabilités affectent les versions 8.5 à 11.7 de Hiawatha, la double libération étant spécifique aux versions 10.8.2 à 11.7. L'exploitation de ces failles peut conduire à un contournement de l'authentification, à un détournement de session, à l'injection de charges malveillantes et à l'exécution de code. Bien que Hiawatha ne soit plus activement supporté, le développeur a reconnu ces problèmes. Des mesures d'atténuation et de correction pour les trois vulnérabilités ont été testées et incluses dans une prochaine version. Il est conseillé aux utilisateurs d'installer la version mise à jour dès qu'elle sera disponible. Ali Norouzi de Keysight est remercié pour avoir signalé ces problèmes.