CWE-444

O produto atua como um agente HTTP intermediário (como um proxy ou firewall) no fluxo de dados entre duas entidades, como um cliente e um servidor, mas não interpreta requisições ou respostas HTTP malformadas de maneiras consistentes com a forma como as mensagens serão processadas pelas entidades que estão no destino final.

Requisições ou respostas HTTP ("mensagens") podem ser malformadas ou inesperadas de maneiras que fazem servidores web ou clientes interpretarem as mensagens de forma diferente de agentes HTTP intermediários, como balanceadores de carga, proxies reversos, proxies de cache web, firewalls de aplicação, etc. Por exemplo, um adversário pode conseguir adicionar campos de cabeçalho duplicados ou diferentes que um cliente ou servidor pode interpretar como um conjunto de mensagens, enquanto o intermediário pode interpretar a mesma sequência de bytes como um conjunto diferente de mensagens. Por exemplo, discrepâncias podem surgir na forma de lidar com cabeçalhos duplicados, como dois Transfer-encoding (TE) ou dois Content-length (CL), ou a mensagem HTTP maliciosa terá cabeçalhos diferentes para TE e CL. A análise e a interpretação inconsistentes das mensagens podem permitir que o adversário "contrabandeie" (smuggle) uma mensagem ao cliente/servidor sem que o intermediário perceba. Essa fraqueza geralmente é resultado do uso de versões desatualizadas ou incompatíveis do protocolo HTTP nos agentes HTTP.

Consequências comuns

• Integridade, Não Repúdio, Controle de Acesso → Estado Inesperado, Ocultar Atividades, Contornar Mecanismo de Proteção

Mitigações

• Implementação: Use um servidor web que empregue um procedimento estrito de análise de HTTP, como o Apache [REF-433].
• Implementação: Use apenas comunicação SSL.
• Implementação: Encerre a sessão do cliente após cada requisição.
• Configuração do Sistema: Torne todas as páginas não cacheáveis.