Andrew Moore

Um peer remoto não autenticado pode causar exaustão de memória em um endpoint HTTP/2. O problema ocorre porque a função `cow http2 machine:headers decode/4` em `src/cow http2 machine.erl` utiliza `cow hpack:decode/3` para decodificar blocos HEADERS sem impor um limite ao tamanho da lista de cabeçalhos decodificada, ignorando o `SETTINGS MAX HEADER LIST SIZE` definido na RFC 9113. Um invasor pode armazenar um valor de cabeçalho grande (até 4096 bytes) na tabela dinâmica e referenciá-lo várias vezes usando campos indexados de um byte. Isso permite que uma pequena quantidade de tráfego de rede se expanda em uma grande alocação de memória. Por exemplo, um bloco de 110 bytes pode ser decodificado em uma lista de cabeçalhos de aproximadamente 390 KB. Quando um consumidor, como o Cowboy usando `cowboy http2:headers to map/2`, junta campos `cookie` repetidos em um único binário, ele aloca esse tamanho expandido para cada stream, podendo levar a VM Erlang ao esgotamento de memória.

A validação inadequada de certificados com incompatibilidade de host permite que um adversário no meio se passe por um peer TLS usando um certificado com um curinga de rótulo parcial. A função `try match wildcard/4` em `src/ssl verify hostname.erl` ancora apenas o texto antes e depois do asterisco em identificadores como `f*.example.net`, permitindo que o curinga consuma pontos e aceite certificados para domínios não autorizados, como `f.evil.example.net`. Isso contraria a RFC 6125, que restringe curingas ao rótulo mais à esquerda. Além disso, o correspondente permite que `*.168.1.1` corresponda ao literal de IP `192.168.1.1`. Este problema afeta clientes que desativam a Indicação do Nome do Servidor (SNI), servidores que verificam nomes de host de certificados de cliente e chamadores diretos da função `verify cert hostname/2`.

Ocorre Cross-site Scripting (XSS) quando um invasor controla nomes de atributos, permitindo a injeção de atributos e scripts no HTML renderizado através da função `Phoenix.HTML.attributes escape/1`. A função `key escape/1` não neutraliza adequadamente espaços em branco em chaves binárias, permitindo a criação de novos atributos, como manipuladores de eventos. Além disso, chaves do tipo atom são apenas dasherizadas, permitindo a passagem de caracteres como aspas e colchetes angulares. Este problema afeta aplicações que constroem chaves de atributos a partir de entradas não confiáveis e as renderizam usando HEEx `<tag {@attrs}>`, `content tag/3` ou chamadas diretas. Chaves aninhadas `data`, `aria` e `phx` também são suscetíveis. Isso pode levar à execução de scripts arbitrários nos navegadores dos usuários que visualizam as páginas afetadas.