HTTP-Verbindungs-Kontamination

Reading time: 3 minutes

Dies ist eine Zusammenfassung des Beitrags: https://portswigger.net/research/http-3-connection-contamination. Überprüfen Sie ihn für weitere Details!

Webbrowser können eine einzelne HTTP/2+-Verbindung für verschiedene Websites durch HTTP-Verbindungs-Koaleszenz wiederverwenden, vorausgesetzt, sie haben gemeinsame IP-Adressen und ein gemeinsames TLS-Zertifikat. Dies kann jedoch mit First-Request-Routing in Reverse-Proxys in Konflikt geraten, bei dem nachfolgende Anfragen an das Backend geleitet werden, das durch die erste Anfrage bestimmt wird. Diese Fehlleitung kann zu Sicherheitsanfälligkeiten führen, insbesondere in Kombination mit Wildcard-TLS-Zertifikaten und Domains wie *.example.com.

Wenn beispielsweise wordpress.example.com und secure.example.com beide vom selben Reverse-Proxy bedient werden und ein gemeinsames Wildcard-Zertifikat haben, könnte die Verbindungskoaleszenz eines Browsers dazu führen, dass Anfragen an secure.example.com fälschlicherweise vom WordPress-Backend verarbeitet werden, wodurch Schwachstellen wie XSS ausgenutzt werden.

Um die Verbindungskoaleszenz zu beobachten, können Chome's Netzwerk-Tab oder Tools wie Wireshark verwendet werden. Hier ist ein Snippet zum Testen:

fetch("//sub1.hackxor.net/", { mode: "no-cors", credentials: "include" }).then(
() => {
fetch("//sub2.hackxor.net/", { mode: "no-cors", credentials: "include" })
}
)

Die Bedrohung ist derzeit aufgrund der Seltenheit des First-Request-Routings und der Komplexität von HTTP/2 begrenzt. Die vorgeschlagenen Änderungen in HTTP/3, die die Anforderung an die Übereinstimmung der IP-Adresse lockern, könnten jedoch die Angriffsfläche erweitern und Server mit einem Wildcard-Zertifikat anfälliger machen, ohne dass ein MITM-Angriff erforderlich ist.

Best Practices umfassen das Vermeiden von First-Request-Routing in Reverse Proxys und Vorsicht im Umgang mit Wildcard-TLS-Zertifikaten, insbesondere mit dem Aufkommen von HTTP/3. Regelmäßige Tests und das Bewusstsein für diese komplexen, miteinander verbundenen Schwachstellen sind entscheidend für die Aufrechterhaltung der Websicherheit.