HTTP Connection Contamination
Hierdie is 'n opsomming van die pos: https://portswigger.net/research/http-3-connection-contamination. Kyk dit vir verdere besonderhede!
Webblaaier kan 'n enkele HTTP/2+ verbinding hergebruik vir verskillende webwerwe deur middel van HTTP-verbindingsamevoeging, met gedeelde IP-adresse en 'n gemeenskaplike TLS-sertifikaat. Dit kan egter bots met eerste-versoek-roetebepaling in omgekeerde proksi's, waarop volgende versoek na die agterkant verwys wat deur die eerste versoek bepaal is. Hierdie verkeerde roetebepaling kan lei tot sekuriteitskwessies, veral wanneer dit gekombineer word met wilde TLS-sertifikate en domeine soos *.example.com.
Byvoorbeeld, as wordpress.example.com en secure.example.com albei deur dieselfde omgekeerde proksi bedien word en 'n gemeenskaplike wilde sertifikaat het, kan 'n blaaier se verbindingsamevoeging veroorsaak dat versoek na secure.example.com verkeerd verwerk word deur die WordPress-agterkant, wat kwessies soos XSS kan uitbuit.
Om verbindingsamevoeging waar te neem, kan Chrome se Netwerk-tabblad of hulpmiddels soos Wireshark gebruik word. Hier is 'n uittreksel vir toetsing:
Die dreiging is tans beperk as gevolg van die skaarsheid van eerste-versoek roetebepaling en die kompleksiteit van HTTP/2. Die voorgestelde veranderinge in HTTP/3, wat die IP-adres-passingsvereiste verslap, kan egter die aanvalsvlak verbreed, waardoor bedieners met 'n wildcard-sertifikaat meer kwesbaar word sonder 'n MITM-aanval nodig te hê.
Die beste praktyke sluit in om eerste-versoek roetebepaling in omgekeerde proksi's te vermy en versigtig te wees met wildcard TLS-sertifikate, veral met die koms van HTTP/3. Gereelde toetsing en bewustheid van hierdie komplekse, onderling verbonde kwesbaarhede is noodsaaklik vir die handhawing van websekuriteit.
Last updated