Haavatavused projektis Pingora, mis võimaldavad sekkuda kolmandate osapoolte päringutesse

Cloudflare kuulutas välja kolm haavatavust Pingora raamistiku kohta, millest kahe jaoks on määratud kriitiline ohtlikkuse tase (9,3 10-st). Pingora raamistik on kirjutatud Rusti keeles ja on mõeldud turvaliste, kõrge jõudlusega veebiteenuste arendamiseks. Pingora abil ehitatud proksi kasutatakse Cloudflare'i sisu kohaletoimetamise võrgus ning see käsitleb rohkem kui 40 miljonit päringut sekundis. Haavatavused on kõrvaldatud Pingora versioonis 0.8.0.

Kaks kõige ohtlikumat haavatavust võimaldavad teostada «HTTP Request Smuggling» rünnakuid, mis võimaldavad mööda minna juurdepääsu piirangu süsteemidest ja tungida teiste kasutajate päringute sisusse, mida töödeldakse samas voos esifronti ja tagaseina vahel (näiteks pahatahtliku JavaScripti koodi sisestamiseks teise kasutaja seanssi saidiga). Probleemid tuvastati Bug Bounty programmi osalise poolt, mis pakub auhindade maksmist haavatavuste avastamise eest.

Tagatipuks protokolli kaudu, kus pöördutakse tagaseina kaudu pöördproksi poole, võtab kliendi päringuid vastu lisasõlm, mis loob pikaajalise TCP-ühenduse tagaseinaga, mis töötleb päringuid otse. Selle ühise ühenduse kaudu edastatakse tavaliselt erinevate kasutajate päringud, mis järgivad üksteise järel HTTP protokolli vahenditega jagatuna. «HTTP Request Smuggling» rünnakud tekivad eri tõlgendustest HTTP-pealkirjade ja HTTP-protokolli määratlemisel esifrontides ja tagaseintel, näiteks kui esifront kasutab päringu suuruse määratlemiseks HTTP-pealkirja «Content-Length», ja tagasein «Transfer-Encoding: chunked».

Esimene haavatavus CVE-2026-2835 on olemas HTTP/1.0 päringute analüüsimise koodis ja see tuleneb «Transfer-Encoding» pealkirja mitme väärtuse vale töötlemise tõttu, samuti ühenduse sulgemise kasutamisest päringute keha lõpu tunnusena (close-delimited). Pingora kontrollis ainult varianti «Transfer-Encoding: chunked» ja ignoreeris seda pealkirja, kui selles oli mitmeid väärtusi. Sellisel juhul ei arvestanud Pingora pealkirja «Content-Length» suurust ja pidas keha päringuks kõiki andmeid, mis saadi enne ühenduse sulgemist.

Tänu mitme väärtuse määramisele pealkirjas „Transfer-Encoding” suutis ründaja luua tingimused, kus päring suunati tagaplaanile, mille tegelik suurus ei vastanud chunked-ahelast arvutatavale suurusele, mis põhines pealkirjal „Transfer-Encoding”. Pingora suunas kõik saadud andmed üheks päringuks, kuid tagaplaan, näiteks Node.js, arvutas päringu „Transfer-Encoding: chunked” alusel ja töötles ülejäänud sabaga kui teise päringu algust. GET / HTTP/1.0 Host: example.com Connection: keep-alive Transfer-Encoding: identity, chunked Content-Length: 29 0 GET /admin HTTP/1.1 X:

Teine haavatavus CVE-2026-2833 tuleneb HTTP/1.1 päringutes HTTP-pealkirja „Upgrade” valest töötlemisest. Kui päringus on pealkiri „Upgrade”, edastas vaheproksi koheselt tagaplaanile ka ülejäänud päringu andmed, mis järgnesid pealkirjale „Upgrade”, ootamata tagaplaanilt vastust koodiga 101 (Switching Protocols). Selle tõttu häiris voogude sünkroonimine vaheproksi ja tagaplaani vahel ning tagaplaan tajus pärast pealkirja „Upgrade” saadetud andmeid kui eraldi päringut, edastades selle päringu täitmise tulemuse vastuseks järgmisel päringule teiselt kasutajalt. GET / HTTP/1.1 Host: example.com Upgrade: foo GET /admin HTTP/1.1 Host: example.com

Probleemid ilmnevad siis, kui Pingorat kasutatakse tagasipöördeproksi (ingress proxy) vormis, mis suunab kasutajate päringud tagaplaanidele, kasutades protokolle HTTP/1.0 või HTTP/1.1. Cloudflare'i sisu edastamise võrgus rakendatud Pingora konfiguratsioon ei võimaldanud haavatavusi ära kasutada, kuna Pingorat ei kasutata CDN-is ingress-proksina, suunab see päringud ainult HTTP/1.1 protokolli alusel, blokeerib päringud vale Content-Length väärtustega, suunab ainult ühe pealkirja „Transfer-Encoding: chunked” väärtuse ja lisab päringutesse, mille pealkiri on „Upgrade:”, täiendava pealkirja „Connection: close”, mis ei luba edastada täiendavaid päringuid samas ühenduses.

Kolmas haavatavus CVE-2026-2836 (ohtude tase 8,4 skaalal 10) viib vahemälastuse nakatumiseni (cache poisoning) seetõttu, et vahemälu andmete paigutamise võtme (CacheKey) genereerimine põhineb ainult URI teel, eirates "Host" päise sisu. Selline puudujääk toob kaasa sama vahemälu võtme loomise sama HTTP tee jaoks erinevate hostide puhul. Haavatavust saab kasutada vahemälu sisu asendamiseks, kui mitu hosti kasutavad vahemälustamise režiimi. Pingoras on vahemälu katsefunktsioon, mida ei soovitata tootmisrakendustes.

Allikas: opennet.ru