CVE-2022-22720

HTTP Request Smuggling w Apache HTTP Server 2.4.52 i wcześniejszych

CVSS 9.8v3.1pub. 2022-03-14upd. 2024-11-21

Apache HTTP Server w wersji 2.4.52 i wcześniejszych nie zamyka połączenia przychodzącego po napotkaniu błędów podczas odrzucania treści żądania. Otwiera to serwer na ataki typu HTTP Request Smuggling, które mogą prowadzić do przejęcia kontroli nad przetwarzaniem żądań HTTP.

▸ Pokaż oryginał (EN)

Apache HTTP Server 2.4.52 and earlier fails to close inbound connection when errors are encountered discarding the request body, exposing the server to HTTP Request Smuggling

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi połączeń przychodzących (CWE-444 — Improper Neutralization of HTTP Headers). Gdy serwer napotka błąd podczas odrzucania treści ciała żądania, nie zamyka poprawnie połączenia TCP. Atakujący może to wykorzystać do przemycenia dodatkowych żądań HTTP wewnątrz jednego połączenia, co prowadzi do niejednoznacznej interpretacji granic żądań przez serwer frontendowy i backendowy.

Skutki

Atakujący może przeprowadzić atak HTTP Request Smuggling, potencjalnie uzyskując dostęp do chronionych zasobów, omijając mechanizmy kontroli dostępu, zatruwając pamięć podręczną (cache poisoning) lub przejmując sesje innych użytkowników.

Mitygacja

Należy zaktualizować Apache HTTP Server do wersji nowszej niż 2.4.52. Szczegółowe informacje o dostępnych patchach dostępne są na stronie producenta: https://httpd.apache.org/security/vulnerabilities_24.html