Konrad Pietrzak

**Nome do Software Vulnerável e Versões Afetadas** Erlang OTP versões 17.0 até 29.0.1 Erlang OTP versão 28.5.0.1 Erlang OTP versão 27.3.4.12 **Descrição** A exposição de dados sensíveis ocorre no módulo `httpc response` da biblioteca inets. O cliente `httpc` encaminha os cabeçalhos de requisição `Authorization` e `Proxy-Authorization` para alvos de redirecionamento sem verificar se o redirecionamento cruza a fronteira de origem. Especificamente, a função `redirect/2` constrói a requisição redirecionada atualizando apenas o campo host do registro de cabeçalho, copiando todos os outros campos literalmente. Como o `autoredirect` é habilitado por padrão, isso afeta todos os chamadores que não desabilitam explicitamente os redirecionamentos automáticos. Um invasor que controla um servidor pode emitir um redirecionamento 3xx de origem cruzada para um servidor que também controla, fazendo com que o cabeçalho `Authorization` (incluindo credenciais Basic derivadas de informações de usuário da URL via função `handle user info/2`) e o cabeçalho `Proxy-Authorization` sejam encaminhados, permitindo o roubo de credenciais. **Recomendações** Atualize o Erlang OTP para a versão 29.0.2, 28.5.0.2 ou 27.3.4.13. Configure `{autoredirect, false}` nas opções de `httpc:request/4` e gerencie os redirecionamentos manualmente, removendo o cabeçalho `Authorization` quando o redirecionamento cruzar a fronteira de origem. Certifique-se de que o `httpc` seja usado apenas para contatar servidores confiáveis que não emitam redirecionamentos de origem cruzada.

Name of the Vulnerable Software and Affected Versions Erlang OTP versões 17.0 até 28.4.2, 26.2.5.19 e 27.3.4.10 Description Um problema de autorização incorreta existe no Erlang OTP (módulos inets) que permite acesso não autenticado a scripts CGI protegidos por regras de diretório quando servidos via `script alias`. Isso ocorre porque `mod auth` avalia os controles de acesso baseados em diretório em relação ao caminho relativo a `DocumentRoot`, enquanto `mod cgi` executa scripts no caminho resolvido por `ScriptAlias`, criando uma incompatibilidade de caminho. Os arquivos de programa afetados são `lib/inets/src/http server/mod alias.erl`, `lib/inets/src/http server/mod auth.erl` e `lib/inets/src/http server/mod cgi.erl`. Recommendations Mova os scripts CGI para dentro de `DocumentRoot` e use `alias` em vez de `script alias` para garantir que `mod auth` resolva o caminho correto. Aplique controles de acesso baseados em URL em uma camada de proxy reverso para bloquear o acesso não autenticado ao prefixo de URL `script alias`. Remova `mod cgi` da cadeia de módulos httpd se a funcionalidade CGI não for necessária.

**Name of the Vulnerable Software and Affected Versions** Erlang OTP versions 17.0 through 28.4.1 Erlang OTP versions 26.2.5.18 and 27.3.4.9 inets versions 5.10 through 9.6.1 inets versions 9.1.0.5 and 9.3.2.3 **Description** An inconsistent interpretation of HTTP requests, specifically 'HTTP Request Smuggling', exists in Erlang OTP (inets httpd module). This issue is related to the program files `lib/inets/src/http server/httpd request.erl` and the `httpd request:parse headers/7` routine. The server does not properly handle duplicate Content-Length headers, using the first value encountered for body parsing, while common reverse proxies utilize the last value. This discrepancy violates RFC 9112 Section 6.3 and can lead to front-end/back-end desynchronization, potentially allowing an attacker to inject controlled bytes into the start of subsequent requests. **Recommendations** Update Erlang OTP to a version later than 28.4.1. Update Erlang OTP to a version later than 27.3.4.9. Update Erlang OTP to a version later than 26.2.5.18. Update inets to a version later than 9.6.1. Update inets to a version later than 9.3.2.3. Update inets to a version later than 9.1.0.5.