CVE-2020-26281

async-h1 è un parser asincrono HTTP/1.1 per Rust (crates.io). Esiste una vulnerabilità di request smuggling nelle versioni di async-h1 precedenti alla 2.3.0. Questa vulnerabilità interessa qualsiasi web server che utilizza async-h1 dietro un reverse proxy, inclusi tutti i relativi applicativi Tide. Se il server non legge il corpo di una richiesta più lunga di una certa lunghezza del buffer, async-h1 tenterà di leggere una richiesta successiva a partire dal contenuto del corpo, iniziando dall'offset corrispondente. Un modo per sfruttare questa vulnerabilità consiste nel far sì che un adversary costruisca una richiesta tale che il corpo contenga una richiesta che non venga rilevata dal reverse proxy, permettendogli di falsificare intestazioni forwarded/x-forwarded. Se un’applicazione si fida dell’autenticità di queste intestazioni, potrebbe essere ingannata dalla richiesta smuggled. Un’altra preoccupazione potenziale riguarda il fatto che, se un reverse proxy invia le richieste di più client HTTP sulla stessa connessione keep-alive, potrebbe essere possibile che la richiesta smuggled specifichi un contenuto lungo e catturi la richiesta di un altro utente nel suo corpo. Questo contenuto potrebbe essere poi recuperato tramite una richiesta POST a un endpoint che permette all’attaccante di ottenere successivamente il contenuto. Questa vulnerabilità è stata corretta in async-h1 2.3.0, mentre le versioni precedenti sono state rimosse.