开源的代理服务器HAProxy 易遭严重的 HTTP 请求走私攻击
编译：代码卫士
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
使用广泛的开源负载均衡器和代理服务器 HAProxy 中存在一个严重漏洞 (CVE-2021-40346)，可被滥用于走私 HTTP 请求，从而导攻击者越权访问敏感数据并执行任意命令，使 HAProxy易受攻击。
该漏洞是整数溢出漏洞，CVSS 评分为8.6，已在 HAProxy 版本2.0.25、2.2.17、2.3.14和2.4.4中修复。
HTTP 请求走私是一种 web 应用攻击，能够篡改网站处理从超过一个用户处获得的HTTP 请求的序列。这种攻击也被称为HTTP去同步化，它利用的是前端服务器和后端服务器处理发送者请求方式中存在的解析不一致。
前端服务器通常是供网站通过单点连接并将其转发到一个或多个后端服务器的进站 HTTP 请求链的负载平衡器或反向代理。因此在前端和后端正确处理这些请求很重要，以便服务器能够判断在何处结束请求以及在何处开始下一个请求，如失败则可导致被附加到一个请求中的恶意内容被添加到下一个请求的开头。
换句话说，由于前端和后端服务器使用 Content-Length 和 Transfer-Encoding 标头找到每个请求开头和结束的方式中存在问题，导致恶意 HTTP 请求的结尾被错误计算，从而导致服务器未处理的恶意内容被添加到链中下一个进站请求的开头。
JFrog Security 公司的研究员发布报告解释称，“之所以能够利用一个整数溢出漏洞成功发动攻击，导致在解析 HTTP 请求时 HAProxy 状态异常，具体而言是指 Content-Length 标头的处理逻辑异常。“
在潜在的真实攻击场景下，该缺陷可被用于触发 HTTP 请求走私攻击，绕过由 HAProxy 定义的 ACL 规则，使得用户能够定义自定义规则，拦截恶意请求。
收到漏洞报告后，HAProxy 通过对名称和值的长度进行大小检查修复了该弱点。HAProxy 的创始人兼首席开发员 Willy Tarreau 表示，“作为缓解措施，能够验证任意消息中均未出现不超过一个此类[content-length]标头就足够了。”
建议无法升级到之前所提到软件版本的客户将如下代码片段添加到该代理的配置，以缓解这些攻击：
http-request deny if { req.hdr_cnt(content-length) gt 1 }http-response deny if { res.hdr_cnt(content-length) gt 1 }@whyseu @。@HFwuhome@惊蛰 @nimo @XuZ @淡然 @Marco韬 @王孟 @Wecat@nwnλ @MOBE @湘北二两西香葱@※ @搬砖小土妞@云烟过眼 @r00t@小风 @傲雪@最好走的路是套路 @Zhao.xiaojun @浅笑淡然 @X-Star @Erick2013 @小秦同学 @X @王骏 @欢寻 @nbp@Mr. Guo
如下是本书相关讲解:
开源反向代理 Traefik 暴露用户的 TLS 证书密钥
开源邮件传输代理 Exim 易遭 RCE 和 DoS 攻击 用户应立即修复
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
找到软件供应链的薄弱链条
GitHub谈软件供应链安全及其重要性
揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司
谷歌Linux基金会等联合推出开源软件签名服务 sigstore，提振软件供应链安全
Linus Torvalds 警告：勿用 Linux 5.12 rc1，担心供应链攻击？
微软和火眼又分别发现SolarWinds 供应链攻击的新后门
https://thehackernews.com/2021/09/haproxy-found-vulnerable-to-critical.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。