CWE-444 là Diễn giải không nhất quán các yêu cầu HTTP ('Đánh tráo yêu cầu/phản hồi HTTP'). Lỗi phát sinh khi Sản phẩm hoạt động như một tác nhân HTTP trung gian, chẳng hạn proxy hoặc tường lửa, nhưng diễn giải các yêu cầu hoặc phản hồi HTTP không nhất quán với cách mà máy khách hoặc máy chủ đích sẽ xử lý chúng.
Chưa có dữ liệu về lỗ hổng cho CWE-444
Chưa có dữ liệu về lỗ hổng trong CISA KEV cho CWE-444
Các tác nhân trung gian HTTP như bộ cân bằng tải, reverse proxy, proxy bộ nhớ đệm và tường lửa ứng dụng có thể phân tích một thông điệp HTTP khác với máy khách hoặc máy chủ đích. Chẳng hạn, các tiêu đề trùng lặp hoặc mâu thuẫn có thể khiến trung gian nhận diện một tập thông điệp, trong khi máy chủ hoặc máy khách nhận diện tập khác. Sự không nhất quán này cho phép thông điệp được đưa đến đích mà không bị trung gian nhận biết, đặc biệt khi các tác nhân sử dụng các phiên bản HTTP lỗi thời hoặc không tương thích.
Điểm yếu xuất hiện khi một chuỗi byte HTTP không hợp lệ hoặc bất thường được tác nhân trung gian, máy khách và máy chủ đích diễn giải theo những cách khác nhau. Các sai khác có thể liên quan đến tiêu đề trùng lặp như hai Transfer-Encoding hoặc hai Content-Length, hoặc sự hiện diện đồng thời của các tiêu đề Transfer-Encoding và Content-Length. Kẻ tấn công có thể lợi dụng chênh lệch này để “đánh tráo” một thông điệp qua tác nhân trung gian mà tác nhân đó không nhận biết; nguyên nhân thường liên quan đến việc sử dụng các phiên bản giao thức HTTP đã lỗi thời hoặc không tương thích.
Hồ sơ xác định các phạm vi ảnh hưởng gồm tính toàn vẹn, khả năng chối bỏ và kiểm soát truy cập, với các tác động như tạo trạng thái bất ngờ, che giấu hoạt động và vượt qua cơ chế bảo vệ. Các hiệu ứng tiêu biểu gồm đầu độc bộ nhớ đệm web bằng cách khiến máy chủ liên kết một URL với trang được lưu của URL khác, vượt qua bảo vệ tường lửa để truy cập trái phép ứng dụng web, và gọi một tập lệnh hoặc trang trả về thông tin xác thực của máy khách.
| Tác động | Phạm vi | Diễn giải |
|---|---|---|
| Trạng thái ngoài dự kiến, Che giấu hoạt động, Vượt qua cơ chế bảo vệ | Tính toàn vẹn, Chống chối bỏ, Kiểm soát truy cập | An attacker could create HTTP messages to exploit a number of weaknesses including 1) the message can trick the web server to associate a URL with another URL's webpage and caching the contents of the webpage (web cache poisoning attack), 2) the message can be structured to bypass the firewall protection mechanisms and gain unauthorized access to a web application, and 3) the message can invoke a script or a page that returns client credentials (similar to a Cross Site Scripting attack). |
Phân tích tĩnh tự động, còn gọi là SAST, có thể phát hiện một số trường hợp bằng cách phân tích mã nguồn hoặc mã đã biên dịch mà không cần thực thi. Phương pháp này thường lập mô hình luồng dữ liệu và luồng điều khiển, sau đó tìm các mẫu đáng ngờ nối nguồn đầu vào với điểm đích nơi dữ liệu tương tác với thành phần bên ngoài; tuy nhiên, phương pháp này chỉ phát hiện được một số trường hợp.
| Phương pháp | Cách làm | Hiệu quả |
|---|---|---|
| Phân tích tĩnh tự động | Automated static analysis, commonly referred to as Static Application Security Testing (SAST), can find some instances of this weakness by analyzing source code (or binary/compiled code) without having to execute it. Typically, this is done by building a model of data flow and control flow, then searching for potentially-vulnerable patterns that connect "sources" (origins of input) with "sinks" (destinations where the data interacts with external components, a lower layer such as the OS, etc.) | - |
Các ví dụ đại diện trong hồ sơ chính thức, không phải danh sách đầy đủ, gồm:
CVE-2022-24766: proxy hỗ trợ SSL/TLS có thể cho phép đánh tráo HTTP khi kết hợp với dịch vụ HTTP/1.0, do diễn giải và làm sạch đầu vào không nhất quán trong phần thân của một thông điệp khác.CVE-2021-37147: máy chủ proxy bộ nhớ đệm có thể cho phép đánh tráo phản hồi HTTP thông qua việc xác thực tiêu đề không phù hợp và kết thúc dòng bằng LF.CVE-2020-8287: nền tảng Node.js cho phép đánh tráo yêu cầu thông qua hai tiêu đề Transfer-Encoding.CVE-2006-6276: các máy chủ web cho phép đánh tráo yêu cầu do diễn giải tiêu đề HTTP không nhất quán.CVE-2005-2088 và CVE-2005-2089: máy chủ HTTP cho phép đánh tráo yêu cầu khi đồng thời có tiêu đề Transfer-Encoding: chunked và tiêu đề Content-Length.Dưới đây là các lỗ hổng tiêu biểu liên quan đến CWE-444, dựa theo mức độ ưu tiên
CWE™ Program, operated by The MITRE Corporation. Copyright © 2006–2026, The MITRE Corporation. The MITRE Corporation hereby grants you a non-exclusive, royalty-free license to use CWE for research, development, and commercial purposes. CWE Terms of Use.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục cho toàn bộ doanh nghiệp.
Đánh giá mức độ an toàn và các đề xuất tới từ CyStack cho các trang Web
Tìm hiểu các nghiên cứu của đội ngũ chuyên gia chúng tôi trong an ninh mạng
Tìm hiểu về giải pháp tình báo mối đe doạ và phát hiện lộ lọt dữ liệu tới từ CyStack
vi
