Tấn công Desync bằng CRLF: Chặt đầu các luồng HTTP

Chuyện gì xảy ra

Nghiên cứu này chỉ ra rằng HTTP Header Injection bị đánh giá thấp nghiêm trọng, có thể biến thành desync worm. Các kỹ thuật bao gồm: request splitting để đầu độc hàng đợi phản hồi (RQP), khai thác trong CDN và Kubernetes, tiêm header qua cookie, và dùng AI để phát hiện. Đặc biệt, CRLF-powered CL.TE desync cho phép tấn công xuyên mạng, thậm chí đánh cắp HTTPOnly cookies thông qua trình duyệt nạn nhân. Cần kiểm tra và vá các điểm chèn header, đặc biệt khi dùng Nginx với biến $uri trong proxy_pass.

Vì sao bạn nên quan tâm

Developer cần quan tâm vì lỗ hổng này có thể biến một header injection tưởng chừng nhỏ thành desync worm, đánh cắp dữ liệu nhạy cảm, session cookie, và gây ảnh hưởng hàng loạt người dùng, thậm chí trong hạ tầng CDN hoặc Kubernetes.

Cần làm gì

Trích từ nguồn

In this paper we’ll show that HTTP Header Injection is severely underestimated.

This technique does not breach the RFC using mutated headers in any way.

RQP is a truly glorious attack, where you smuggle two complete requests, this causes the server to lose track of which response is meant to go to who, and instead send everyone random responses intended for other users.

By creating a request with a Content-Length header and an injected Transfer-Encoding header, we realised we could achieve a classic CL.TE desync.

This worked, but quickly went disastrously wrong.

Nguồn

• CRLF-Powered Desync Attacks: Beheading HTTP Streams — PortSwigger