Khafradev

O cliente EventSource nesta biblioteca de cliente HTTP para Node.js pode ser forçado a esgotar a memória do processo por um peer de Server-Sent Events malicioso. Isso ocorre quando um peer envia milhões de pequenos campos de dados concluídos sem separadores de eventos em branco, ou uma única linha inacabada dividida em vários chunks. O parser acumula um estado por campo e por chunk que não é restringido pelos limites `maxEventSize` ou `maxResponseSize`. Além disso, como o `maxResponseSize` é aplicado ao corpo compactado antes da descompactação, uma pequena resposta compactada pode expandir-se em um volume de memória retida suficiente para encerrar o processo. Isso afeta aplicações que mantêm uma conexão EventSource com um peer não confiável e impacta a disponibilidade do sistema.

A implementação da função `fetch()` nesta biblioteca de cliente HTTP para Node.js verifica incorretamente os metadados de Subresource Integrity (SRI). A biblioteca compara o token do algoritmo com um conjunto apenas em letras minúsculas, fazendo com que tokens válidos em maiúsculas ou mistas (como SHA256) sejam tratados como desconhecidos e ignorados. Quando não restam algoritmos reconhecidos, a lista de integridade é tratada como vazia e a resposta é aceita, independentemente de o corpo corresponder ao digest fixado. Isso permite que um invasor que controle o corpo da resposta entregue bytes maliciosos a uma aplicação que utilize tokens SRI não minúsculos sem gerar um erro de integridade.

Ao analisar um cabeçalho Set-Cookie, o software aceita qualquer valor de atributo SameSite que contenha Strict, Lax ou None como uma substring, em vez de exigir uma correspondência exata insensível a maiúsculas e minúsculas, conforme especificado pela RFC 6265. Isso permite que valores fora da especificação sejam mapeados silenciosamente para tokens padrão; por exemplo, SameSite=NoneOfYourBusiness é analisado como None, e SameSite=StrictLax é analisado como Lax. Aplicativos que consomem cabeçalhos Set-Cookie via caminhos de código fetch ou proxy e dependem do atributo `sameSite` analisado podem ser coagidos por um servidor malicioso ou não compatível a aplicar uma política SameSite mais fraca, degradando a aplicação pretendida do cookie.

O analisador de cookies na função `parseSetCookie` realiza a decodificação de percentagem (percent-decode) de valores de cookies via `qsUnescape`, convertendo sequências codificadas como %0D%0A, %00, %3B e %3D em seus equivalentes de bytes literais. Este comportamento diverge da RFC 6265 §5.4 e dos padrões de navegadores, que não especificam tal decodificação. Aplicações que utilizam `parseSetCookie`, `parseCookie` ou `getSetCookies` e, posteriormente, encaminham esses valores analisados para cabeçalhos de resposta (como proxies, middlewares ou frameworks SSR) estão suscetíveis à injeção de cabeçalho de resposta HTTP. Isso permite que uma fonte upstream controlada por um invasor injete cabeçalhos Set-Cookie, Location ou Cache-Control arbitrários na resposta downstream da aplicação, possibilitando a fixação de sessão, redirecionamento aberto ou envenenamento de cache.