Konrad Pietrzak

O módulo `mod auth` no servidor httpd do inets colapsa todos os blocos de configuração de diretório em um único espaço de nomes de usuário/grupo compartilhado quando configurado com backends de autenticação dets ou mnesia. Esse comportamento permite que um usuário autorizado para um diretório protegido seja aceito como válido para todos os outros diretórios protegidos na mesma instância do servidor.

A exposição de dados sensíveis ocorre no módulo `httpc response` da biblioteca inets. O cliente `httpc` encaminha os cabeçalhos de requisição `Authorization` e `Proxy-Authorization` para alvos de redirecionamento sem verificar se o redirecionamento cruza a fronteira de origem. Especificamente, a função `redirect/2` constrói a requisição redirecionada atualizando apenas o campo host do registro de cabeçalho, copiando todos os outros campos literalmente. Como o `autoredirect` é habilitado por padrão, isso afeta todos os chamadores que não desabilitam explicitamente os redirecionamentos automáticos. Um invasor que controla um servidor pode emitir um redirecionamento 3xx de origem cruzada para um servidor que também controla, fazendo com que o cabeçalho `Authorization` (incluindo credenciais Basic derivadas de informações de usuário da URL via função `handle user info/2`) e o cabeçalho `Proxy-Authorization` sejam encaminhados, permitindo o roubo de credenciais.

Name of the Vulnerable Software and Affected Versions Erlang OTP versões 17.0 até 28.4.2, 26.2.5.19 e 27.3.4.10 Description Um problema de autorização incorreta existe no Erlang OTP (módulos inets) que permite acesso não autenticado a scripts CGI protegidos por regras de diretório quando servidos via `script alias`. Isso ocorre porque `mod auth` avalia os controles de acesso baseados em diretório em relação ao caminho relativo a `DocumentRoot`, enquanto `mod cgi` executa scripts no caminho resolvido por `ScriptAlias`, criando uma incompatibilidade de caminho. Os arquivos de programa afetados são `lib/inets/src/http server/mod alias.erl`, `lib/inets/src/http server/mod auth.erl` e `lib/inets/src/http server/mod cgi.erl`. Recommendations Mova os scripts CGI para dentro de `DocumentRoot` e use `alias` em vez de `script alias` para garantir que `mod auth` resolva o caminho correto. Aplique controles de acesso baseados em URL em uma camada de proxy reverso para bloquear o acesso não autenticado ao prefixo de URL `script alias`. Remova `mod cgi` da cadeia de módulos httpd se a funcionalidade CGI não for necessária.

An inconsistent interpretation of HTTP requests, specifically 'HTTP Request Smuggling', exists in Erlang OTP (inets httpd module). This issue is related to the program files `lib/inets/src/http server/httpd request.erl` and the `httpd request:parse headers/7` routine. The server does not properly handle duplicate Content-Length headers, using the first value encountered for body parsing, while common reverse proxies utilize the last value. This discrepancy violates RFC 9112 Section 6.3 and can lead to front-end/back-end desynchronization, potentially allowing an attacker to inject controlled bytes into the start of subsequent requests.