CVE-2015-5741

HTTP Request Smuggling w bibliotece net/http języka Go

CVSS 9.8v3.1pub. 2020-02-08upd. 2024-11-21

Biblioteka net/http w języku Go przed wersją 1.4.3 nieprawidłowo przetwarza nagłówki HTTP, umożliwiając atakującym przeprowadzenie ataku HTTP request smuggling. Jest to podatność krytyczna, ponieważ może prowadzić do nieautoryzowanego dostępu, manipulacji żądaniami i obejścia mechanizmów bezpieczeństwa.

▸ Pokaż oryginał (EN)

The net/http library in net/http/transfer.go in Go before 1.4.3 does not properly parse HTTP headers, which allows remote attackers to conduct HTTP request smuggling attacks via a request that contains Content-Length and Transfer-Encoding header fields.

🤖 Analiza AI

Jak działa

Podatność (CWE-444) wynika z nieprawidłowego parsowania nagłówków HTTP w pliku net/http/transfer.go. Atakujący może wysłać spreparowane żądanie HTTP zawierające jednocześnie nagłówki Content-Length oraz Transfer-Encoding. Niezgodna interpretacja tych nagłówków przez różne elementy infrastruktury (np. serwer proxy i serwer docelowy) pozwala na przemycenie dodatkowych żądań HTTP ukrytych w treści ruchu sieciowego.

Skutki

Atakujący może manipulować żądaniami HTTP kierowanymi do aplikacji backendowych, co może prowadzić do obejścia mechanizmów uwierzytelniania, uzyskania dostępu do chronionych zasobów, a także do naruszenia poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Go do wersji 1.4.3 lub nowszej. Użytkownicy dystrybucji Red Hat powinni zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się stosowanie mechanizmów filtrowania i walidacji nagłówków HTTP na poziomie serwerów proxy i firewalli.