Pingora projekti turvanõrkused, mis võimaldavad kolmandate osapoolte päringutesse sekkuda

Cloudflare teatas, et on kõrvaldanud kolm haavatavust Pingora raamistikus, millest kahte on antud kriitiline ohtlikkuse tase (9.3 kümnest). Pingora raamistik on kirjutatud Rust keeles ja on mõeldud turvaliste, kõrge jõudlusega võrguteenuste arendamiseks. Pingora abil ehitatud proksi kasutatakse Cloudflare'i sisu edastamise võrgus ja see töötleb üle 40 miljoni päringu sekundis. Haavatavused on kõrvaldatud Pingora versioonis 0.8.0.

Kaks kõige ohtlikumat haavatavust võimaldavad HTTP Request Smuggling rünnakute teostamist, mis võimaldavad eirata ligipääsupiirangu süsteeme ja siseneda teiste kasutajate päringute sisusse, mis töötlevad sama voogu frontend'i ja backend'i vahel (näiteks kurjasti JavaScript-koodi sisestamine teise kasutaja sessioonis veebilehega). Probleemid tuvastati Bug Bounty programmi osalise poolt, mis pakub tasu haavatavuste avastamise eest.

Backend'iga suhtlemise skeemis läbi tagasipöördetud proksi, võtab kliendi päringud vastu täiendav sõlm, mis loob pikaajalise TCP-ühenduse backend'iga, mis tegeleb päringute otsese töötlemisega. Selle ühise ühenduse kaudu edastatakse tavaliselt erinevate kasutajate päringud, mis järgivad järjestikku üksteist HTTP protokolli vahendusel. HTTP Request Smuggling rünnakud tekivad HTTP päiste ja protokolli spetsifikatsioonide erineva tõlgendamise tõttu frontend'ides ja backend'ides, näiteks siis, kui frontend kasutab päringu suuruse määramiseks HTTP päist 'Content-Length', ja backend'i jaoks 'Transfer-Encoding: chunked'.

Esimene haavatavus CVE-2026-2835 on olemas HTTP/1.0 päringute analüüsi koodis ja see on tingitud 'Transfer-Encoding' päiste vale töötlemisest mitme väärtusega, samuti ühenduse sulgemise kasutamisest päringu keha lõpu tähisena (close-delimited). Pingora kontrollis ainult 'Transfer-Encoding: chunked' varianti ja ignoreeris seda päist, kui selles olid mitmed väärtused. Sellises olukorras ei arvestanud Pingora 'Content-Length' päise suurustega ja pidas päringu kehaks kogu andmeid, mis saadi enne ühenduse sulgemist.

Mitme 'Transfer-Encoding' päise väärtuse näitamise kaudu võis ründaja luua olukorra, kus backend'ile suunati päring, mille tegelik suurus ei vastanud chunked-ahelas arvutatud suurusele, mis põhines 'Transfer-Encoding' päistel. Pingora edastas kõik saadud andmed ühe päringuna, ja backend, näiteks Node.js, arvutas päringu 'Transfer-Encoding: chunked' ja töötles ülejäänud osa kui teise päringu algust. GET / HTTP/1.0 Host: example.com Connection: keep-alive Transfer-Encoding: identity, chunked Content-Length: 29 0 GET /admin HTTP/1.1 X:

Teine haavatavus CVE-2026-2833 on tingitud HTTP/1.1 päringute 'Upgrade' päiste vale töötlemisest. Kui päringus on 'Upgrade' päis, edastab proksi kohe backend'ile ka kõik ülejäänud päringu andmed, mis järgivad 'Upgrade' päist, ootamata backend'ilt vastust koodiga 101 (Switching Protocols). Selle tõttu häiritakse voogude sünkroniseerimist proksi ja backend'i vahel ning backend tõlgendab 'Upgrade' päise järel saadetud andmeid kui eraldi päringut, ja saadab selle päringu täitmise tulemuse vastusena järgnevatele päringutele teiselt kasutajalt. GET / HTTP/1.1 Host: example.com Upgrade: foo GET /admin HTTP/1.1 Host: example.com

Probleemid ilmnevad Pingora kasutamisel tagasipöördetud proksi (ingress proxy) vormis, mis edastab kasutajate päringud backend'idele, kasutades protokolle HTTP/1.0 või HTTP/1.1. Cloudflare'i sisu edastamise võrgu konfiguratsioon Pingora jaoks ei võimaldanud haavatavusi ära kasutada, kuna Pingora ei kasuta CDN-is ingress-proksi, edastab päringud ainult HTTP/1.1 protokolli kaudu, blokeerib vale 'Content-Length' väärtustega päringud, edastab ainult ühe 'Transfer-Encoding: chunked' päise väärtuse ja lisab päringutesse, kus on 'Upgrade:' päis, täiendava 'Connection: close' päise, mis ei luba edastada täiendavaid päringuid samas ühenduses.

Kolmas haavand CVE-2026-2836 (ohtlikkuse tase 8.4 skaalal 10) viib cache poisoning'uni, kuna kassi andmed (CacheKey) genereeritakse ainult URI teest, ignoreerides 'Host' päise sisu. Taoline puudus viib sama kassi võtme loomise juurde sama HTTP tee jaoks erinevatelt hostidelt. Haavandit saab kasutada kassi sisu asendamiseks mitme hostiga kassimise režiimi kasutamise korral. Pingoras on kassimine katsetamisfunktsioon, mis ei ole tööinstalatsioonidele soovitatav.

Allikas: opennet.ru