Konrad Pietrzak

The `mod auth` module in the inets httpd server collapses all directory configuration blocks into a single shared user/group namespace when configured with dets or mnesia authentication backends. This behavior allows a user authorized for one protected directory to be accepted as valid for all other protected directories on the same server instance.

يحدث كشف للبيانات الحساسة في الوحدة النمطية `httpc response` التابعة لمكتبة inets. يقوم عميل `httpc` بإعادة توجيه رؤوس طلبات `Authorization` و`Proxy-Authorization` إلى أهداف إعادة التوجيه دون التحقق مما إذا كانت عملية إعادة التوجيه تتجاوز حدود المنشأ. وعلى وجه التحديد، تقوم الدالة `redirect/2` بإنشاء الطلب المعاد توجيهه عن طريق تحديث حقل المضيف فقط في سجل الرأس، مع نسخ جميع الحقول الأخرى حرفياً. نظرًا لأن `autoredirect` ممكّن افتراضيًا، فإن هذا يؤثر على جميع المستدعين الذين لا يقومون بتعطيل عمليات إعادة التوجيه التلقائية بشكل صريح. يمكن للمهاجم الذي يتحكم في خادم إصدار إعادة توجيه 3xx عبر المنشأ إلى خادم يتحكم فيه أيضًا، مما يتسبب في إعادة توجيه رأس `Authorization` (بما في ذلك بيانات الاعتماد الأساسية المستمدة من معلومات المستخدم في عنوان URL عبر الدالة `handle user info/2`) ورأس `Proxy-Authorization`، مما يؤدي إلى سرقة بيانات الاعتماد.

اسم البرنامج المعرض للخطر والإصدارات المتأثرة إصدارات Erlang OTP من 17.0 إلى 28.4.2، و26.2.5.19، و27.3.4.10 الوصف توجد مشكلة في عملية المصادقة في Erlang OTP (وحدات inets) تسمح بالوصول غير المصادق عليه إلى نصوص CGI المحمية بقواعد الدليل عند تقديمها عبر `script alias`. يحدث هذا لأن `mod auth` يقوم بتقييم ضوابط الوصول المستندة إلى الدليل مقابل المسار النسبي لـ `DocumentRoot`، بينما يقوم `mod cgi` بتنفيذ النصوص في المسار الذي تم تحليله بواسطة `ScriptAlias`، مما يؤدي إلى عدم تطابق المسار. ملفات البرامج المتأثرة هي `lib/inets/src/http server/mod alias.erl`، و`lib/inets/src/http server/mod auth.erl`، و`lib/inets/src/http server/mod cgi.erl`. التوصيات انقل البرامج النصية CGI إلى داخل `DocumentRoot` واستخدم `alias` بدلاً من `script alias` لضمان قيام `mod auth` بحل المسار الصحيح. قم بتطبيق ضوابط الوصول المستندة إلى عناوين URL في طبقة الوكيل العكسي لحظر الوصول غير المصادق عليه إلى بادئة عنوان URL `script alias`. قم بإزالة `mod cgi` من سلسلة وحدات httpd إذا لم تكن وظيفة CGI مطلوبة.

يوجد تفسير غير متسق لطلبات HTTP، وتحديدًا «تهريب طلبات HTTP» (HTTP Request Smuggling)، في Erlang OTP (وحدة inets httpd). ترتبط هذه المشكلة بملفات البرنامج `lib/inets/src/http server/httpd request.erl` وروتين `httpd request:parse headers/7`. لا يتعامل الخادم بشكل صحيح مع رؤوس Content-Length المكررة، حيث يستخدم القيمة الأولى التي يصادفها لتحليل نص الرسالة، في حين أن البروكسيات العكسية الشائعة تستخدم القيمة الأخيرة. هذا التباين يخالف القسم 6.3 من RFC 9112 ويمكن أن يؤدي إلى عدم تزامن بين الواجهة الأمامية والواجهة الخلفية، مما قد يسمح للمهاجم بحقن بايتات خاضعة للتحكم في بداية الطلبات اللاحقة.