HTTP Connection Contamination

Reading time: 3 minutes

Hii ni muhtasari wa chapisho: https://portswigger.net/research/http-3-connection-contamination. Angalia kwa maelezo zaidi!

Vivinjari vya wavuti vinaweza kutumia muunganisho mmoja wa HTTP/2+ kwa tovuti tofauti kupitia HTTP connection coalescing, ikiwa na anwani za IP zinazoshirikiwa na cheti cha TLS cha kawaida. Hata hivyo, hii inaweza kuingiliana na first-request routing katika reverse-proxies, ambapo maombi yanayofuata yanaelekezwa kwa nyuma kulingana na ombi la kwanza. Kuweka vibaya kwa maombi kunaweza kusababisha udhaifu wa usalama, hasa inapounganishwa na vyeti vya TLS vya wildcard na maeneo kama *.example.com.

Kwa mfano, ikiwa wordpress.example.com na secure.example.com zinatolewa na reverse proxy moja na zina cheti cha wildcard cha kawaida, muunganisho wa kivinjari unaweza kusababisha maombi kwa secure.example.com kushughulikiwa vibaya na nyuma ya WordPress, ikitumia udhaifu kama XSS.

Ili kuangalia muunganisho wa coalescing, tab ya Network ya Chrome au zana kama Wireshark zinaweza kutumika. Hapa kuna kipande cha kujaribu:

fetch("//sub1.hackxor.net/", { mode: "no-cors", credentials: "include" }).then(
() => {
fetch("//sub2.hackxor.net/", { mode: "no-cors", credentials: "include" })
}
)

Hatari kwa sasa imepunguzwa kutokana na nadra ya uelekeo wa ombi la kwanza na ugumu wa HTTP/2. Hata hivyo, mabadiliko yaliyopendekezwa katika HTTP/3, ambayo yanapunguza hitaji la mechi ya anwani ya IP, yanaweza kupanua uso wa shambulio, na kufanya seva zenye cheti cha wildcard kuwa hatarini zaidi bila kuhitaji shambulio la MITM.

Mbinu bora ni pamoja na kuepuka uelekeo wa ombi la kwanza katika proxies za nyuma na kuwa makini na vyeti vya TLS vya wildcard, hasa kwa kuingia kwa HTTP/3. Kujaribu mara kwa mara na ufahamu wa hizi hatari ngumu, zinazohusiana ni muhimu kwa kudumisha usalama wa wavuti.