Podatności Rouille

Rouille w wersjach 0.3.3 do 3.6.2 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling), która pozwala zdalnym atakującym na ominięcie kontroli dostępu poprzez wstrzyknięcie gołych znaków nowej linii (0x0A) do wartości nagłówków żądań dostarczanych przez klienta. Wartości te są kopiowane dosłownie do połączeń nadrzędnych bez walidacji. Atakujący może spreparować nagłówek zawierający dodatkowe żądanie HTTP, które jest interpretowane jako osobne żądanie przez backendy (np. Go net/http, Python http.server), omijając logikę kontroli dostępu Rouille.

Rouille w wersjach 0.3.3 do 3.6.2 zawiera podatność na przemycanie żądań HTTP (HTTP request smuggling). Implementacja proxy w src/proxy.rs przekazuje nagłówek Transfer-Encoding klienta do backendu bez zmian, podczas gdy ciało jest już odkodowane przez tiny_http, co umożliwia ataki desynchronizacji CL.TE.

Rouille w wersjach 0.1.6 do 3.6.2 zawiera podatność na osiągalne asercje w funkcji Request::remove_prefix, która pozwala zdalnym, nieuwierzytelnionym atakującym na awarię serwera poprzez wysłanie spreparowanego adresu URL z kodowaniem procentowym.

Rouille w wersjach 0.4.0 do 3.6.2 zawiera podatność na dzielenie odpowiedzi HTTP (HTTP response splitting), która pozwala zdalnym atakującym na wstrzyknięcie dowolnych nagłówków odpowiedzi poprzez osadzenie bajtów powrotu karetki (0x0D) lub nowej linii (0x0A) w danych wejściowych kontrolowanych przez atakującego.