libevent evhttp CVE-2024-6382 HTTP请求走私漏洞分析及修复

漏洞概述 漏洞名称: libevent evhttp: Multiple HTTP Parser Bugs Enable Request Smuggling CVE ID: CVE-2024-6382 严重程度: 高 描述: libevent的evhttp HTTP解析器存在三个与Transfer-Encoding处理和分块主体解析相关的漏洞，导致主体框架与反向代理不一致，从而启用HTTP请求走私。 影响范围 受影响的组件: - 库: libevent (evhttp) - 文件: - — 返回第一个匹配项（Bug 1） - — 在不进行去重检查的情况下追加（Bug 1） - — 精确匹配（Bug 2） - — 接受 作为行终止符（Bug 3） - 版本: 测试针对最新主分支（git HEAD） 部署上下文: - libevent是一个事件通知库，其嵌入式HTTP服务器（evhttp）广泛用于各种应用程序中，从缓存层（memcached）到网络基础设施（ToR）的自定义微服务。库作者无法预测或控制其代码最终部署的环境。在evhttp服务可能位于CDN、云负载均衡器、NGINX-HA降级代理、家庭网络反向代理或任何中间件组合的环境中，HTTP解析差异变得直接可利用。HTTP生态系统过于多样化和快速变化，以至于不能假设没有中间件会不同地解释这些头或字节。 修复方案 Bug 1: 重复Transfer-Encoding First-Wins RFC违规: RFC 9110规定，收件人不得静默选择具有相同名称的多个头字段，除非该字段定义为逗号分隔列表。具有不同值的多个Transfer-Encoding头表示必须拒绝或组合的格式错误的消息。 根本原因: 无条件地将头追加到TAILQ，没有去重检查。 修复建议: 1. 拒绝重复的TE头：如果存在多个Transfer-Encoding头，返回400 Bad Request。 2. 或者，根据RFC 9110第5.3节，将多个TE值合并为逗号分隔列表。 Bug 2: 多值Transfer-Encoding被忽略 RFC违规: RFC 9112规定，如果应用于请求主体的任何传输编码不是分块，则发送者必须将分块作为最终传输编码。合规的解析器必须对逗号分隔的TE值进行标记化，并识别 作为最终编码。 根本原因: TE比较使用 ——一个全字符串大小写不敏感比较。没有对逗号进行标记化，也没有对各个令牌进行空白修剪。 修复建议: 1. 对逗号分隔的TE值进行标记化：按逗号拆分并单独检查每个令牌。 2. 识别 作为最终编码：如果 作为最后一个令牌出现，则启用分块解码。 3. 拒绝未知的传输编码：返回501 Not Implemented，除非 作为最终编码。 Bug 3: 分块传输编码中接受裸LF RFC违规: RFC 9112严格要求CRLF（ ）作为分块编码中的所有行终止符。RFC 9112允许在头解析中放宽裸LF——但这种放宽不适用于分块主体框架。 根本原因: 分块大小解析在 中使用 读取行。 修复建议: 1. 对分块解析使用 ：libevent已经有一个严格CRLF模式，需要 和 。将分块行读取从 切换到 在 中。 所有漏洞 拒绝CL + 非分块TE: 当同时存在Content-Length和非分块Transfer-Encoding时，返回400 Bad Request。 POC代码 Bug 1: 重复TE Bug 2: 多值TE Bug 3: 裸LF分块 利用: CL.TE请求走私 端到端走私PoC 影响 ACL绕过: 代理阻止 ，从未看到走私请求——它在代理层不可见。 凭证窃取: 走私请求访问受保护的端点并返回敏感数据。 缓存中毒: 走私响应可以毒化缓存条目供其他用户使用。 会话劫持: 在共享连接部署中，走私请求可以附加到下一个客户端的请求。 复现 先决条件 运行所有PoCs 参考 RFC 9110 Section 7.2 — Duplicate Header Fields RFC 9112 Section 4 — Transfer Coding RFC 9112 Section 6.1 — Transfer-Encoding Priority RFC 9112 Section 7.1 — Chunked Transfer Coding RFC 9112 Section 11.2 — Request Smuggling CVE-2024-52304 — AIOHTTP bare LF in chunks CVE-2025-22671 — Go nethttp bare LF in chunks CVE-2024-53868 — Apache Traffic Server — TERM behavior in chunk parsing PortSwigger — HTTP Request Smuggling — Comprehensive CL.TE and TE.CL smuggling reference James Kettle — HTTP Desync Attacks — Original research on modern HTTP request smuggling James Kettle — HTTP2: The Sequel is Always Worse — Research covering TE parsing differences across implementations

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

libevent evhttp CVE-2024-6382 HTTP请求走私漏洞分析及修复

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

libevent evhttp CVE-2024-6382 HTTP请求走私漏洞分析及修复

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！