Parches de seguridad para versiones de Flask que han llegado al final de su ciclo de vida, sin afectar a tu pila web de Python

ELS para Flask ofrece correcciones de seguridad para las versiones de Flask que ya no reciben actualizaciones del desarrollador original. TuxCare publica versiones parcheadas en un índice privado de paquetes de Python, de modo que las aplicaciones de Flask puedan seguir funcionando en la versión para la que fueron desarrolladas sin dejar de recibir correcciones de seguridad.

Flask 0.12.5, 1.1.2, 1.1.4, 2.2.1 y 2.2.5, con otras versiones disponibles previa solicitud. Los paquetes de los que suelen depender las aplicaciones de Flask, como Werkzeug, Jinja2 y flask-cors, también están incluidos como bibliotecas de Python.

Un caso destacado es el CVE-2023-30861, en el que una respuesta podía incluir la cookie de sesión de otro cliente cuando Flask se ejecutaba detrás de un proxy de almacenamiento en caché en determinadas condiciones. Las aplicaciones antiguas de Flask también heredan riesgos de Werkzeug y Jinja2, por lo que aplicar parches únicamente al marco de trabajo rara vez basta para eliminar los avisos del escáner.

La forma más rápida es ejecutar «pip install --upgrade -i» con la URL del índice de TuxCare ELS y tus credenciales. Para un uso continuado, TuxCare recomienda añadir su índice como «extra-index-url» en el archivo pip.conf. Dado que «extra-index-url» no da prioridad al índice de TuxCare, especifica la versión parcheada exacta, como «flask==0.12.5.post1+tuxcare», para que se seleccione la compilación deseada.

El objetivo es corregir las vulnerabilidades sin alterar el comportamiento del que depende tu aplicación, y TuxCare comprueba la integridad, la funcionalidad y la regresión de cada actualización. En algunos casos, TuxCare puede ofrecer una medida de mitigación en lugar de una corrección directa del código. Las versiones parcheadas conservan el número de versión original y añaden el sufijo «.postN+tuxcare», que indica que se trata de una actualización de seguridad de una versión existente y no de una nueva versión con funcionalidades.

Las vulnerabilidades críticas y altas (CVSS 7.0 y superior) se corrigen en un plazo de 14 días desde su divulgación pública; las medias, en un plazo de 60 días, y las bajas, en un plazo de 90 días. TuxCare publica los documentos SBOM de CycloneDX y VEX correspondientes a sus paquetes de Python en security.tuxcare.com.

Cuando se dispone de tiempo para hacerlo bien, merece la pena llevar a cabo una migración. Flask 2 y 3 eliminaron API obsoletas, aumentaron las versiones mínimas de Python y modificaron la compatibilidad de las extensiones, por lo que las aplicaciones más antiguas pueden necesitar una revisión a fondo. ELS mantiene esas aplicaciones actualizadas hasta que la migración se ajuste a la hoja de ruta.