CVE-2025-1867

Podatność wynika z niespójnej interpretacji żądań HTTP przez bibliotekę libhv — zjawisko znane jako HTTP Request/Response Smuggling. Atakujący może spreparować specjalnie skonstruowane żądanie HTTP, które zostanie odmiennie zinterpretowane przez serwer frontendowy i backendowy (lub przez różne komponenty przetwarzające ruch). Rozbieżność w interpretacji pozwala na przemycenie dodatkowych żądań lub odpowiedzi HTTP, które nie są widoczne dla mechanizmów bezpieczeństwa pośredniczących. Nie wymaga to uwierzytelnienia ani interakcji użytkownika, a atak jest możliwy zdalnie przez sieć.

Atakujący może uzyskać nieautoryzowany dostęp do danych innych użytkowników, ominąć mechanizmy kontroli dostępu, zatruwać cache proxy, a w konsekwencji prowadzić dalsze ataki na infrastrukturę — w tym przejąć kontrolę nad sesją lub doprowadzić do wycieku poufnych informacji. Wpływ dotyczy zarówno poufności, integralności, jak i dostępności systemu oraz powiązanych komponentów.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (pull request #689 w repozytorium GitHub ithewei/libhv). Zaleca się aktualizację biblioteki libhv do wersji nowszej niż 1.3.3 niezwłocznie po jej wydaniu oraz monitorowanie oficjalnego repozytorium projektu w celu potwierdzenia dostępności poprawki.

Biblioteka libhv we wszystkich wersjach do 1.3.3 włącznie.

Poprawka została zgłoszona jako pull request #689 w repozytorium GitHub projektu libhv (https://github.com/ithewei/libhv/pull/689). Podatność nie figuruje w katalogu CISA KEV.