PT-2026-123307
CVE-2026-114216
·
تاريخ النشر
2026-10-26
·
تاريخ التحديث
2026-10-26
الوصف من
CVSS 4.0
6.3
متوسطةالمقاييسAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:L/VA:N/SC:L/SI:L/SA:N
اسم البرنامج المصاب والإصدارات المتأثرة
bandit الإصدارات من 1.12.4 إلى 1.13.x
Description
يوجد تفسير غير متسق لطلبات HTTP، والمعروف باسم (HTTP Request/Response Smuggling)، في قارئ الجسم المجزأ (chunked body reader) لبروتوكول HTTP/1.1. يسمح هذا لمهاجم عن بُعد غير مصرح له بتهريب طلب ثانٍ عبر وكيل أمامي (front-end proxy) من خلال ملحق مجزأ يحتوي على LF (تغذية سطر) بسيطة. تحدث المشكلة في الملف
lib/bandit/http1/socket.ex حيث يقبل قارئ الأجزاء سطر حجم الجزء حتى أول CRLF ويتجاهل كل ما بعد الفاصلة المنقوطة ; دون التحقق منه وفقًا لقواعد chunk-ext في RFC 9112. وبناءً على ذلك، يتم السماح بمرور بايتات التحكم مثل LF و CR البسيطة. إذا كان الوكيل الأمامي يعتبر LF البسيطة نهاية للسطر، فقد يقرأ التدفق كطلب واحد، بينما يعتبره Bandit طلبًا منفصلاً (pipelined request)، مما قد يؤدي إلى تجاوز ضوابط الوصول الخاصة بالوكيل. تؤثر هذه المشكلة فقط على عمليات النشر التي تستخدم وكيلًا أماميًا يتعامل مع LF البسيطة كنهاية للسطر ويقوم بتمرير الأجسام المجزأة دون تغيير.Recommendations
تحديث bandit إلى الإصدار 1.14.0 أو إصدار أحدث.
كإجراء مؤقت، إذا كان الوكيل الأمامي يدعم HTTP/2، قم بتعطيل HTTP/1 عن طريق ضبط
http 1 options: [enabled: false] لمنع تشغيل قارئ الجسم المجزأ.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾