Średni Odebrany

CVE-2026-105298

opublikowano: 20.10.2026, 03:17

modyfikacja: 20.10.2026, 22:17

Ocena CVSS

6.3

Średni · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:L/SI:L/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Podsumowanie

Przed wersją 0.9.0 Pingora akceptowała żądania HTTP/2, których nagłówek Host różnił się od pseudonagłówka :authority. Filtry żądań, klucze pamięci podręcznej i dzienniki odczytujące identyfikator URI żądania (session.req_header().uri) widziały wartość :authority, ale element nadrzędny otrzymał wartość hosta dostarczoną przez klienta. Pingora zaakceptowała także wartości :authority zawierające informacje o użytkowniku (na przykład uż[email protected]). Narusza to RFC 9113, sekcja 8.3.1, która wymaga od pośrednika użycia wartości :authority dla Hosta i zastąpienia dowolnego istniejącego pola Host.

Pierwotna przyczyna

*

HTTP/2 do HTTP/1.1: Host został wygenerowany z :authority tylko wtedy, gdy żądanie nie miało nagłówka Host, więc host klienta będącego w konflikcie został przekazany bez zmian.

*

HTTP/2 na HTTP/2: nagłówek hosta klienta został usunięty i użyty do zastąpienia nadrzędnego :authority, po tym jak filtry żądań zostały już uruchomione względem oryginalnego :authority.

*

Serwer HTTP/2 nie porównał Hosta z :authority i nie odrzucił informacji o użytkowniku w instytucji.

Wpływ

Zdalny, nieuwierzytelniony atakujący może wysłać pojedyncze żądanie HTTP/2, które aplikacja postrzega jako jeden host, a serwer nadrzędny odbiera jako inny. Gdy filtry żądań, kontrola dostępu lub klucze pamięci podręcznej korzystają z urzędu URI i tras nadrzędnych według hosta, może to prowadzić do:

*

Zatruwanie pamięci podręcznej: odpowiedź od innego hosta wirtualnego jest przechowywana w kluczu pamięci podręcznej hosta ofiary i udostępniana innym użytkownikom (wymaga to również, aby serwer nadrzędny udostępniał inną zawartość dla każdego hosta).

*

Obejście kontroli dostępu oparte na hoście: żądanie zatwierdzone dla jednego hosta jest obsługiwane przez inny host wirtualny na serwerze nadrzędnym.

Nie ma to wpływu na wdrożenia, które nie akceptują protokołu HTTP/2 od klientów lub które nie korzystają z uprawnień do żądania przy podejmowaniu decyzji dotyczących bezpieczeństwa lub buforowania.

Należy pamiętać, że nie miało to wpływu na klientów Cloudflare CDN, ponieważ wewnętrzne usługi Pingora w Cloudflare nie mają klientów HTTP/2.

Łagodzenie:

*

Uaktualnij do wersji pingora 0.9.0 lub nowszej. Pingora zwraca teraz 400 Bad Request dla żądań HTTP/2, których Host różni się od :authority, które zawierają więcej niż jeden Host lub których organ zawiera informacje o użytkowniku, i utrzymuje zgodność nadrzędnego hosta lub :authority z uprawnieniem żądania. Napraw zatwierdzenia: https://github.com/cloudflare/pingora/commit/915590a91811877795531f6ba0927a3138b5cb4b , https://github.com/cloudflare/pingora/commit/ffab8302d08d4292d1924eb8fe84647fd5cb8e76

*

Jeśli nie możesz dokonać aktualizacji: w request_filter odrzuć żądania HTTP/2, które zawierają nagłówek hosta inny niż organ URI lub którego organ zawiera „@”.

Summary

Before version 0.9.0, Pingora accepted HTTP/2 requests whose Host header differed from the :authority pseudo-header. Request filters, cache keys, and logs that read the request URI (session.req_header().uri) saw the :authority value, but the upstream received the client-supplied Host value. Pingora also accepted :authority values containing userinfo (for example, [email protected]). This violates RFC 9113 Section 8.3.1, which requires an intermediary to use the :authority value for Host and replace any existing Host field.

Root cause

*

HTTP/2 to HTTP/1.1: Host was generated from :authority only when the request had no Host header, so a conflicting client Host was forwarded unchanged.

*

HTTP/2 to HTTP/2: the client Host header was removed and used to overwrite the upstream :authority, after request filters had already run against the original :authority.

*

The HTTP/2 server did not compare Host with :authority and did not reject userinfo in the authority.

Impact

A remote, unauthenticated attacker can send a single HTTP/2 request that the application sees as one host and the upstream receives as another. Where request filters, access controls, or cache keys use the URI authority and the upstream routes by Host, this can lead to:

*

Cache poisoning: a response from another virtual host is stored under the victim host's cache key and served to other users (this also requires the upstream to serve different content per Host).

*

Host-based access control bypass: a request approved for one host is served by a different virtual host on the upstream.

Deployments that do not accept HTTP/2 from clients, or that do not use the request authority for security or caching decisions, are not affected.

Note that Cloudflare CDN customers were unaffected, as internal Pingora services at Cloudflare do not have HTTP/2 clients.

Mitigation:

*

Upgrade to pingora 0.9.0 or later. Pingora now returns 400 Bad Request for HTTP/2 requests whose Host differs from :authority, that contain more than one Host, or whose authority contains userinfo, and keeps the upstream Host or :authority consistent with the request authority. Fix commits: https://github.com/cloudflare/pingora/commit/915590a91811877795531f6ba0927a3138b5cb4b , https://github.com/cloudflare/pingora/commit/ffab8302d08d4292d1924eb8fe84647fd5cb8e76

*

If you cannot upgrade: in request_filter, reject HTTP/2 requests that carry a Host header different from the URI authority, or whose authority contains '@'.

>_ Referencje

https://github.com/cloudflare/pingora

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve