CVE-2025-63938

Tinyproxy do wersji 1.11.3 nie odrzuca żądań zawierających wiele nagłówków Content-Length o różnych wartościach, przekazując wszystkie zduplikowane nagłówki do backendu, jednocześnie używając pierwszego do określenia liczby bajtów treści żądania do konsumpcji. Zdalni atakujący mogą desynchronizować stan parsera proxy i backendu, co umożliwia wstrzyknięcie dowolnych żądań HTTP do backendu, prowadząc do zatrucia pamięci podręcznej, ominięcia kontroli dostępu i przejęcia żądań.

Tinyproxy do wersji 1.11.3 nieprawidłowo obsługuje konflikt między nagłówkami Content-Length i Transfer-Encoding: chunked, przekazując oba do backendu, ale używając Content-Length do określenia liczby bajtów treści żądania. Zdalny atakujący może wykorzystać tę niespójność do desynchronizacji stanu parsowania między proxy a backendem, co umożliwia wstrzyknięcie dowolnych żądań HTTP do backendu.

Tinyproxy do wersji 1.11.3 nieprawidłowo waliduje nagłówek Host podczas wykrywania stathost, co pozwala nieuwierzytelnionym atakującym na dostęp do strony statystyk poprzez wstrzyknięcie pasującego nagłówka Host lub ominięcie wykrywania przez manipulację portem. Zdalni atakujący mogą uzyskać nieautoryzowany dostęp do wewnętrznych statystyk proxy lub przekierować żądania jako połączenia przezroczystego proxy, omijając kontrolę dostępu.

Tinyproxy do wersji 1.11.3 jest podatny na desynchronizację parsowania żądań HTTP z powodu porównywania nagłówka Transfer-Encoding z uwzględnieniem wielkości liter w src/reqs.c. Funkcja is_chunked_transfer używa strcmp do porównania wartości nagłówka z "chunked", mimo że RFC 7230 określa, że nazwy transfer-coding są niewrażliwe na wielkość liter.

Podatność przepełnienia liczby całkowitej w parserze kodowania transferu chunked w tinyproxy do wersji 1.11.3 włącznie pozwala niezautoryzowanemu zdalnemu atakującemu na wywołanie odmowy usługi (DoS). Problem występuje, ponieważ wartości rozmiaru fragmentu są parsowane za pomocą strtol bez odpowiedniej walidacji warunków przepełnienia (np. errno == ERANGE).