Mattias Grenfeldt

**Nome do software vulnerável e versões afetadas** Apache Traffic Server, versões 8.0.0 a 8.1.2 Apache Traffic Server, versões 9.0.0 a 9.0.1 **Descrição** O problema está relacionado à validação inadequada de entradas na análise de cabeçalhos do Apache Traffic Server, permitindo que um invasor insira solicitações não autorizadas. **Recomendações** Para as versões 8.0.0 a 8.1.2 do Apache Traffic Server, atualize para uma versão fora desse intervalo para resolver o problema. Para as versões 9.0.0 a 9.0.1 do Apache Traffic Server, atualize para uma versão fora desse intervalo para resolver o problema.

**Nome do software vulnerável e versões afetadas** Apache Traffic Server, versões 8.0.0 a 8.1.2 Apache Traffic Server, versões 9.0.0 a 9.1.0 **Descrição** O problema está relacionado à validação inadequada de entradas na análise de cabeçalhos do Apache Traffic Server, permitindo que um invasor insira solicitações não autorizadas. **Recomendações** Para as versões 8.0.0 a 8.1.2 do Apache Traffic Server, atualize para uma versão fora desse intervalo para resolver o problema. Para as versões 9.0.0 a 9.1.0 do Apache Traffic Server, atualize para uma versão fora desse intervalo para resolver o problema.

**Nome do software vulnerável e versões afetadas** Versões do hyper anteriores à 0.14.10 **Descrição** O problema está relacionado à análise e aceitação incorretas de solicitações com um cabeçalho `Content-Length` contendo um sinal de mais como prefixo. Isso pode levar a “contrabando de solicitações” ou “ataques de dessincronização” quando combinado com um proxy HTTP upstream que não analisa tais cabeçalhos, mas os encaminha. A probabilidade estimada de um ataque explorar essa vulnerabilidade é considerada baixa devido às condições específicas necessárias. **Recomendações** Para versões anteriores à 0.14.10, considere as seguintes soluções alternativas: - Rejeite manualmente as solicitações que contenham um prefixo de sinal de mais no cabeçalho `Content-Length`. - Certifique-se de que qualquer proxy upstream trate os cabeçalhos `Content-Length` com um prefixo de sinal de mais. Para uma correção permanente, atualize para a versão 0.14.10 ou posterior.

**Nome do software vulnerável e versões afetadas** Versões do hyper anteriores à 0.14.10 **Descrição** O problema está relacionado a um estouro de inteiro ao decodificar tamanhos de blocos excessivamente grandes, o que pode causar perda de dados ou, em certos casos, “contrabando de solicitações” ou “ataques de dessincronização” se combinado com um proxy HTTP upstream que permita tamanhos de blocos maiores. Isso pode ocorrer ao usar o hyper para qualquer finalidade HTTP/1, incluindo como cliente ou servidor, e quando os usuários enviam solicitações ou respostas que especificam um tamanho de chunk superior a 18 exabytes. Para que um possível ataque de contrabando de solicitações seja viável, quaisquer proxies upstream devem aceitar um tamanho de chunk superior a 64 bits. **Recomendações** Para resolver o problema, atualize para a versão 0.14.10 ou posterior. Como solução alternativa temporária, considere rejeitar manualmente as solicitações que contenham um cabeçalho `Transfer-Encoding`. Como alternativa, certifique-se de que qualquer proxy upstream rejeite tamanhos de bloco `Transfer-Encoding` maiores do que o que cabe em inteiros sem sinal de 64 bits.

**Nome do software vulnerável e versões afetadas** Versões 1.15.12 e anteriores do Go Versões 1.16.x do Go anteriores à 1.16.5 **Descrição** O problema está relacionado ao componente ReverseProxy do pacote net/http/httputil na linguagem de programação Go, o que pode resultar em uma situação em que um invasor consiga inserir cabeçalhos arbitrários. Isso pode ocorrer quando o ReverseProxy é configurado de determinada maneira, permitindo que um invasor comprometa a integridade dos dados. A vulnerabilidade pode ser explorada por um invasor remoto. **Recomendações** Para as versões 1.15.12 e anteriores do Go, atualize para a versão 1.15.13 ou posterior. Para as versões 1.16.x anteriores à 1.16.5 do Go, atualize para a versão 1.16.5 ou posterior. Como solução temporária, considere restringir o uso do componente ReverseProxy até que um patch esteja disponível.

**Nome do software vulnerável e versões afetadas** Versões do Puma anteriores à 5.5.1 e à 4.3.9 **Descrição** O problema está relacionado ao contrabando de solicitações HTTP ao usar o Puma com um proxy que encaminha valores de cabeçalho HTTP contendo o caractere LF. Isso poderia permitir que um cliente contrabandeasse uma solicitação através de um proxy, fazendo com que o proxy enviasse uma resposta de volta a outro cliente desconhecido. O único proxy conhecido por apresentar esse comportamento é o Apache Traffic Server. Se o proxy usar conexões persistentes e o cliente adicionar outra solicitação via pipelining HTTP, o proxy pode interpretá-la erroneamente como o corpo da primeira solicitação. O Puma, no entanto, a veria como duas solicitações e, ao processar a segunda solicitação, enviaria uma resposta que o proxy não espera. Se o proxy tiver reutilizado a conexão persistente com o Puma para enviar outra solicitação para um cliente diferente, a segunda resposta do primeiro cliente será enviada ao segundo cliente. **Recomendações** Para resolver o problema, atualize para a versão 5.5.1 ou 4.3.9 do Puma. Como solução alternativa temporária, não use o Apache Traffic Server com o Puma. Considere usar um proxy que não encaminhe caracteres LF como finais de linha, como Nginx, Apache (>2.4.25), Haproxy, Caddy ou Traefik.