Podatności libsoup

W bibliotece libsoup odkryto podatność typu use-after-free w funkcji soup_message_headers_get_content_disposition(). Umożliwia ona złośliwemu klientowi HTTP wywołanie uszkodzenia pamięci w serwerze libsoup.

W SoupServer (libsoup) wykryto lukę. Gdy klient HTTP/1.x wysyła żądanie z nagłówkiem Expect: 100-continue i ciałem żądania, a SoupServer zwraca wczesną finalną odpowiedź (nie-1xx) przed odczytaniem ciała, serwer nie opróżnia zadeklarowanych bajtów ciała ani nie zamyka połączenia. W połączeniu keep-alive pozostałe bajty są interpretowane jako kolejne żądanie HTTP.

W bibliotece libsoup, gdy rozszerzenie WebSocket permessage-deflate kompresuje bardzo dużą wiadomość wychodzącą, obcięte obliczenia rozmiaru używane do wzrostu GByteArray mogą się zawinąć, powodując, że zlib zapisuje poza przydzielony bufor, co prowadzi do przepełnienia sterty.

W bibliotece libsoup, podczas konstruowania maskowanej ramki WebSocket klienta dla bardzo dużego ładunku wychodzącego, wartości rozmiaru przekazywane do funkcji alokacji GByteArray mogą zostać obcięte, podczas gdy procedura maskowania nadal używa pełnej długości, co powoduje przepełnienie bufora sterty.

W bibliotece libsoup, gdy maksymalny rozmiar przychodzącego ładunku jest nieograniczony (0), SoupWebsocketConnection może zwiększać swój przychodzący GByteArray na podstawie długości ramki kontrolowanej przez atakującego, aż długość się zawinie, co powoduje przepełnienie bufora sterty podczas odczytu danych ramki.

W bibliotece libsoup funkcja soup_uri_decode_data_uri() nieprawidłowo traktowała ładunki data-URI base64 jako ciągi zakończone NUL podczas wywoływania g_base64_decode_inplace(). Jeśli ładunek po zdekodowaniu procentowo zawierał wbudowane bajty NUL, zdekodowana długość mogła pozostać niezainicjalizowana i być użyta jako rozmiar zwracanego GBytes. Może to prowadzić do odczytu poza zakresem lub awarii aplikacji podczas przetwarzania spreparowanego data URI.

W bibliotece libsoup podczas składania fragmentowanych wiadomości WebSocket do GByteArray nie ograniczano odpowiednio całkowitego rozmiaru wiadomości w stosunku do limitów bazowego typu bufora. Zdalny peer mógł wysyłać fragmenty powodujące obcięcie rozmiaru, podczas gdy implementacja nadal używała pełnej długości, co prowadziło do uszkodzenia sterty lub awarii.

W bibliotece libsoup podczas obsługi przychodzącej ramki WebSocket Pong, SoupWebsocketConnection emitował sygnał ::pong ze wskaźnikiem GByteArray, mimo że sygnał jest zadeklarowany do przekazywania GBytes. Aplikacje podłączające handler zgodny z udokumentowanym API GBytes mogą wywołać uszkodzenie sterty lub awarię po otrzymaniu spreparowanego Ponga.

W bibliotece libsoup wykryto podatność związaną z brakiem kontroli granic podczas przesyłania treści żądania HTTP/2 z nieodpytywalnego strumienia wejściowego. Złośliwy serwer HTTP/2 może zmniejszyć rozmiar okna przepływu (SETTINGS_INITIAL_WINDOW_SIZE) podczas trwającego buforowanego odczytu, co prowadzi do skopiowania pełnego bufora do mniejszego wywołania zwrotnego DATA bez kontroli granic, co może przerwać działanie procesu lub spowodować niepowodzenie sesji HTTP/2.

W bibliotece libsoup wykryto podatność use-after-free w implementacji klienta HTTP/2. Złośliwy serwer HTTP/2 lub atakujący typu man-in-the-middle może wykorzystać tę podatność, gdy aplikacja GNOME wysyła plik przez HTTP/2, a serwer wysyła ramkę GOAWAY podczas asynchronicznego odczytu treści pliku. Może to prowadzić do uszkodzenia pamięci, wycieku informacji lub wykonania dowolnego kodu.

W bibliotece libsoup występuje podatność na atak typu „odmowa usługi” (CPU exhaustion) związana z przetwarzaniem nagłówka HTTP Range. Mimo poprawki CVE-2025-32907, scalanie wielu identycznych zakresów w pętli wykonuje operacje O(N²), co przy maksymalnym rozmiarze nagłówka (~100 KiB) pozwala na zablokowanie pętli zdarzeń serwera na około 90 ms na żądanie. Podatność jest osiągalna po stronie serwera bez uwierzytelniania.

W libsoup, w przetwarzaniu nagłówka HTTP Range w SoupServer, funkcja sort_ranges() obcina wynik odejmowania 64-bitowego do 32-bitowej liczby całkowitej, co powoduje błędne sortowanie zakresów dla plików większych niż ~2 GB. Prowadzi to do pomijania żądanych zakresów w odpowiedziach HTTP 206 Partial Content.

W bibliotece libsoup po ustanowieniu tunelu CONNECT przez proxy HTTP, nagłówek Proxy-Authorization jest nieprawidłowo dołączany do kolejnych żądań HTTPS wysyłanych przez ten tunel do serwera docelowego. Pozwala to serwerowi docelowemu na przechwycenie danych uwierzytelniających proxy.

W bibliotece libsoup parser kodowania transferu fragmentarycznego (chunked transfer encoding) używa permisywnej funkcji parsowania rozmiaru fragmentu, która akceptuje dane niezgodne z RFC 9112, w tym początkowe białe znaki, prefiksy plusa i końcowe nieprawidłowe znaki. Gdy libsoup działa za rygorystycznym proxy, ta różnica w parsowaniu może być wykorzystana do przemycania żądań HTTP.

W bibliotece libsoup niedopełnienie liczby całkowitej bez znaku w funkcji soup_filter_input_stream_read_until() powoduje odczyt poza zakresem bufora sterty podczas parsowania wieloczęściowych odpowiedzi HTTP. Złośliwy serwer HTTP może wysłać spreparowaną odpowiedź, powodując awarię aplikacji klienckiej lub ujawnienie poufnych danych z pamięci sterty.

W bibliotece libsoup odkryto wadę odczytu poza zakresem sterty. Podczas parsowania wieloczęściowych wiadomości HTTP, niezgodność typów całkowitych między wywołującym a funkcją soup_headers_parse() może spowodować nieprawidłowe obcięcie parametru długości, prowadząc do odczytu poza zakresem bufora sterty. Zdalny atakujący może wykorzystać tę wadę do spowodowania awarii aplikacji używającej libsoup lub potencjalnie ujawnić zawartość pamięci sterty.

W bibliotece libsoup odkryto podatność polegającą na odczycie poza dozwolonym zakresem pamięci w mechanizmie przetwarzania multipart. Funkcja soup_multipart_input_stream_read_headers() nie ogranicza poprawnie rozmiaru ciągów granicznych (boundary), co może prowadzić do odczytu poza buforem. Zdalny, nieuwierzytelniony atakujący może wykorzystać tę lukę do spowodowania odmowy usługi (DoS) lub potencjalnie odczytu fragmentów pamięci.

W bibliotece libsoup w implementacji protokołu HTTP/2 wykryto podatność polegającą na nieprawidłowym zwalnianiu bloków pamięci w określonych warunkach zakończenia strumienia, takich jak wyczerpanie okna lub jawne resetowanie strumienia. Zdalny, nieuwierzytelniony atakujący działający jako złośliwy peer sieciowy może wymusić na silniku połączeń alokację stanów strumienia, które następnie nie są zwalniane podczas czyszczenia. W dłuższym okresie prowadzi to do stopniowego wyczerpywania sterty i awarii aplikacji z powodu braku pamięci (OOM).

W bibliotece libsoup wykryto podatność w implementacji parsowania ramek WebSocket. Biblioteka nie sprawdza poprawności reguł długości określonych w RFC 6455 §5.5, które wymagają, aby ramki kontrolne (np. PING, PONG, CLOSE) miały ładunek o długości 125 bajtów lub mniejszej. Zdalny, nieuwierzytelniony atakujący może wysłać niezgodną, zbyt dużą ramkę kontrolną, co prowadzi do awarii wewnętrznego przetwarzania i odmowy usługi (DoS) dla aplikacji korzystających z WebSocketów w libsoup.

W bibliotece libsoup znaleziono podatność w implementacji WebSocket z rozszerzeniem permessage-deflate. Pętla dekompresji (inflate()) przetwarza dane w fragmentach bez ograniczenia górnego rozmiaru bufora wyjściowego, co pozwala na niekontrolowaną alokację pamięci. Zdalny, nieuwierzytelniony atakujący może wysłać mały, silnie skompresowany ładunek (bomba dekompresyjna), powodując awarię z powodu braku pamięci (OOM) i odmowę usługi (DoS).

W bibliotece libsoup w wersjach 3.0 do 3.7.0 wykryto podatność na odczyt poza granicami bufora sterty w mechanizmie obsługi ramek GOAWAY protokołu HTTP/2. Brak odpowiedniej walidacji długości danych debugowania powoduje, że zdalny, nieuwierzytelniony atakujący może wysłać spreparowaną ramkę, co prowadzi do awarii aplikacji (DoS) lub potencjalnego wycieku fragmentów pamięci.

Poprawka dla CVE-2026-0716 w bibliotece libsoup 3.6.6 (commit 6ff7ef0) umieściła zabezpieczenie przed przepełnieniem liczby całkowitej tylko w bloku obsługującym maskowane ramki, pozostawiając niemaskowane ramki serwer-klient bez ochrony. Złośliwy serwer WebSocket może wysłać spreparowaną niemaskowaną ramkę z długością ładunku bliską UINT64_MAX, wywołując odczyt poza zakresem (OOB) w kliencie opartym na libsoup, gdy max_incoming_payload_size jest ustawione na 0.

W bibliotece libsoup wykryto błąd konwersji liczby bez znaku na liczbę ze znakiem w funkcji `soup_body_input_stream_read_chunked()`. Zdalny atakujący może wysłać złośliwe żądanie HTTP, wykorzystując tę podatność, gdy libsoup działa za serwerem proxy lub jako proxy przed backendem niebazującym na libsoup.

W libsoup występuje podatność typu request smuggling w logice parsowania nagłówków HTTP/1. Funkcja soup_message_headers_append_common() bezwarunkowo dodaje wartości nagłówków bez walidacji duplikatów lub sprzecznych pól Content-Length. Umożliwia to wysłanie żądań z wieloma nagłówkami Content-Length o różnych wartościach.

W libsoup znaleziono lukę, która pozwala na przesyłanie wrażliwych ciasteczek sesyjnych w postaci niezaszyfrowanej podczas nawiązywania tuneli HTTPS przez skonfigurowany proxy HTTP. Atakujący mogą przechwycić te ciasteczka, co prowadzi do potencjalnego przejęcia sesji lub podszywania się pod użytkownika.

W bibliotece libsoup w komponencie SoupServer wykryto podatność use-after-free. Funkcja `soup_server_disconnect()` zwalnia obiekty połączeń zbyt wcześnie, nawet gdy uzgadnianie TLS (handshake) jest wciąż w toku, co prowadzi do dostępu do wiszącego wskaźnika i awarii serwera.

W bibliotece libsoup wykryto podatność integer underflow podczas przetwarzania zasobu o zerowej długości, co prowadzi do przepełnienia bufora przy odczycie (buffer overread). Może to umożliwić atakującemu dostęp do poufnych informacji lub spowodować odmowę usługi na poziomie aplikacji.

W bibliotece libsoup, służącej do obsługi żądań HTTP, wykryto podatność typu Use-After-Free w implementacji serwera HTTP/2. Zdalny atakujący może ją wykorzystać, wysyłając spreparowane żądania HTTP/2 powodujące błędy uwierzytelniania. Może to doprowadzić do próby dostępu do zwolnionej pamięci, powodując niestabilność lub awarię aplikacji, a w konsekwencji odmowę usługi (DoS).

W bibliotece libsoup funkcja soup_message_headers_set_content_type() nie oczyszcza poprawnie danych wejściowych, co pozwala atakującemu kontrolującemu wartość nagłówka Content-Type wstrzyknąć sekwencję CRLF. Umożliwia to wstrzyknięcie dowolnych par nagłówek-wartość i ataki typu HTTP header injection oraz response splitting.

W bibliotece libsoup występuje podatność polegająca na wstrzyknięciu CRLF (Carriage Return Line Feed). Zdalny atakujący, kontrolując parametr method funkcji soup_message_new(), może wstrzyknąć dowolne nagłówki i dodatkowe dane żądania, ponieważ wartość metody nie jest prawidłowo escapowana podczas konstruowania linii żądania.

W bibliotece libsoup występuje podatność polegająca na niewłaściwej walidacji nazw hostów, co pozwala na wstrzyknięcie znaków specjalnych do nagłówków HTTP. Zdalny atakujący może to wykorzystać do przeprowadzenia HTTP smugglingu, wysyłając ukryte złośliwe żądania obok legalnych.

W bibliotece libsoup implementacja uwierzytelniania digest po stronie serwera (klasa SoupAuthDomainDigest) nie śledzi prawidłowo wydanych nonce'ów ani nie wymusza atrybutu nonce-count (nc). Zdalny atakujący może przechwycić jeden prawidłowy nagłówek uwierzytelniania i wielokrotnie go odtworzyć.

W bibliotece libsoup wykryto błąd polegający na nieprawidłowej walidacji żądanych zakresów bajtów podczas przetwarzania specjalnie spreparowanych nagłówków HTTP Range. W niektórych konfiguracjach kompilacji może to umożliwić zdalnemu atakującemu dostęp do fragmentów pamięci serwera poza zamierzoną odpowiedzią. Wykorzystanie wymaga podatnej konfiguracji i dostępu do serwera korzystającego z wbudowanego komponentu SoupServer.

W bibliotece libsoup wykryto podatność HTTP Request Smuggling wynikającą z niezgodnego z RFC parsowania w logice soup_filter_input_stream_read_line(), gdzie akceptowane są zniekształcone nagłówki chunków, np. pojedynczy znak LF zamiast wymaganego CRLF. Zdalny atakujący może to wykorzystać bez uwierzytelnienia i interakcji użytkownika, wysyłając spreparowane żądania chunked, co może prowadzić do ujawnienia informacji.

W bibliotece libsoup odkryto podatność przepełnienia bufora na stosie podczas parsowania odpowiedzi HTTP typu multipart. Błąd wynika z nieprawidłowego obliczenia długości, co pozwala zdalnemu atakującemu na wysłanie spreparowanej odpowiedzi i spowodowanie uszkodzenia pamięci.

W bibliotece HTTP libsoup wykryto błąd, który może powodować wysyłanie danych uwierzytelniających proxy do niezamierzonych miejsc. Podczas obsługi przekierowań HTTP libsoup usuwa nagłówek Authorization, ale nie usuwa nagłówka Proxy-Authorization, gdy żądanie jest przekierowywane do innego hosta. W rezultacie wrażliwe dane uwierzytelniające proxy mogą wyciec do serwerów stron trzecich.

W libsoup występuje podatność polegająca na wstrzyknięciu sekwencji CRLF do wartości nagłówka Content-Disposition, gdy atakujący kontroluje dane wejściowe tego nagłówka. Sekwencje te są interpretowane dosłownie podczas konstruowania żądania lub odpowiedzi HTTP, umożliwiając wstrzyknięcie dowolnych nagłówków HTTP.

W libsoup, bibliotece klienta HTTP, występuje podatność CRLF Injection polegająca na nieprawidłowej obsłudze danych wejściowych po dekodowaniu URL używanych do utworzenia nagłówka Host, gdy skonfigurowany jest serwer proxy HTTP. Zdalny atakujący może dostarczyć spreparowany URL zawierający sekwencje CRLF, aby wstrzyknąć dodatkowe nagłówki HTTP lub całe treści żądań.

Znaleziono błąd w przetwarzaniu ramek WebSocket w libsoup podczas obsługi przychodzących wiadomości. Jeśli używana jest niestandardowa konfiguracja, w której maksymalny rozmiar przychodzącego ładunku nie jest ustawiony, biblioteka może czytać pamięć poza zamierzonymi granicami. Może to spowodować niezamierzone ujawnienie pamięci lub awarię. Aplikacje korzystające z obsługi WebSocket w libsoup z tą konfiguracją mogą być dotknięte.

W bibliotece libsoup HTTP, używanej przez GNOME i inne aplikacje do komunikacji sieciowej, wykryto błąd w obsłudze uwierzytelniania NTLM. Przy przetwarzaniu bardzo długich haseł, nieprawidłowe użycie liczb całkowitych ze znakiem powoduje przepełnienie obliczeń rozmiaru, co prowadzi do błędnej alokacji pamięci na stosie i niebezpiecznego kopiowania danych. W rezultacie aplikacje korzystające z libsoup mogą niespodziewanie ulec awarii, stwarzając ryzyko odmowy usługi.

Podatność w bibliotece libsoup pozwala na wysłanie żądania HTTP z wieloma nagłówkami Host:, przy czym serwer przetwarza ostatni z nich. Ponieważ proxy często honorują pierwszy nagłówek Host:, rozbieżność ta może prowadzić do pomylenia wirtualnych hostów.

W bibliotece libsoup, używanej przez aplikacje GNOME i WebKit do obsługi HTTP/2, wykryto podatność w obsłudze asynchronicznej kolejki komunikatów. Przy określonym czasie przerywania operacji sieciowych dochodzi do podwójnego zwolnienia elementu kolejki z powodu braku synchronizacji stanu, co prowadzi do użycia po zwolnieniu (use-after-free). Atakujący może zdalnie wywołać tę podatność poprzez odpowiednie sekwencje HTTP/2, powodując awarię aplikacji.

W bibliotece HTTP libsoup, powszechnie używanej przez GNOME i inne aplikacje do komunikacji internetowej, znaleziono błąd w logice przetwarzania dat w ciasteczkach. Podczas obsługi ciasteczek ze specjalnie spreparowanymi datami wygaśnięcia biblioteka może wykonać odczyt pamięci poza dozwolonym zakresem.

W bibliotece libsoup znaleziono błąd w mechanizmie buforowania SoupCache, który ignoruje nagłówek HTTP Vary podczas oceny buforowanych odpowiedzi. Nagłówek ten zapewnia, że odpowiedzi różnią się odpowiednio w zależności od nagłówków żądania, takich jak język czy uwierzytelnienie. Bez tego sprawdzenia buforowana treść może być nieprawidłowo ponownie wykorzystywana w różnych żądaniach, potencjalnie ujawniając wrażliwe dane użytkownika.

W bibliotece libsoup wykryto podatność polegającą na nieprawidłowym weryfikowaniu zakończenia wieloczęściowych wiadomości HTTP. Błąd ten umożliwia zdalnemu atakującemu wysłanie spreparowanego żądania HTTP z wieloczęściowym ciałem, co prowadzi do odczytu poza przydzieloną pamięcią (odczyt poza zakresem).

W bibliotece HTTP libsoup, używanej w aplikacjach GNOME i innym oprogramowaniu, wykryto błąd w logice parsowania ciasteczek. Podczas przetwarzania daty wygaśnięcia ciasteczka, specjalnie spreparowana wartość może wywołać przepełnienie liczby całkowitej, prowadząc do nieokreślonego zachowania. Umożliwia to atakującemu ominięcie logiki wygaśnięcia ciasteczek, powodując ich trwałe lub niezamierzone działanie.

W bibliotece libsoup HTTP, używanej przez GNOME i inne aplikacje, znaleziono błąd w funkcji soup_multipart_new_from_message(). Podczas przetwarzania specjalnie spreparowanych wiadomości wieloczęściowych dochodzi do niedomiaru liczby całkowitej, co prowadzi do odczytu nieprawidłowej pamięci i awarii programu.

W bibliotece klienta HTTP libsoup wykryto podatność na odmowę usługi. Problem występuje, gdy klient libsoup otrzyma odpowiedź HTTP 401 (Unauthorized) z spreparowanym parametrem domeny w nagłówku WWW-Authenticate. Przetworzenie takiego nagłówka może spowodować awarię aplikacji klienckiej korzystającej z libsoup.

W bibliotece libsoup wykryto błąd w obsłudze ciasteczek. Klienci libsoup błędnie zezwalają na ustawianie ciasteczek dla domen z publicznym sufiksem, jeśli domena zawiera co najmniej dwa komponenty i wielką literę. Obejście ochrony publicznych sufiksów może pozwolić złośliwej witrynie na ustawianie ciasteczek dla domen, których nie posiada.

W bibliotece libsoup wykryto podatność polegającą na tym, że podczas przekierowania HTTP klienci błędnie wysyłają nagłówek autoryzacyjny do nowego hosta. Pozwala to nowemu hostowi na podszycie się pod użytkownika wobec oryginalnego serwera.