Rootingg

No AWS Lambda, a resposta de cabeçalho único do ALB e a resposta do VPC Lattice v2 unem múltiplos cabeçalhos `Set-Cookie` em um único valor separado por vírgulas. De acordo com a RFC 6265, cada cookie deve ser sua própria linha de cabeçalho. Como vírgulas são caracteres válidos dentro de atributos de cookies, como datas de `Expires`, os clientes não conseguem dividir corretamente o valor combinado de volta em cookies individuais, fazendo com que os cookies sejam silenciosamente descartados ou analisados incorretamente. Isso pode resultar na falha de cookies de sessão, CSRF ou de preferência, potencialmente interrompendo sessões de usuário ou forçando a reautenticação. Este problema afeta especificamente aplicações executadas no AWS Lambda atrás de um ALB em modo de cabeçalho único ou VPC Lattice v2.

O Body Limit Middleware confia no cabeçalho `Content-Length` para determinar se o corpo de uma requisição está dentro do limite permitido. Em ambientes como AWS Lambda (incluindo API Gateway v1/v2, ALB, VPC Lattice e Lambda@Edge), o corpo é entregue totalmente bufferizado e o adaptador reconstrói a requisição usando o `Content-Length` declarado pelo cliente, sem verificar se ele corresponde ao tamanho real do payload. Isso permite que um cliente especifique um `Content-Length` pequeno enquanto envia um corpo significativamente maior, ignorando o limite configurado. Quando o `Content-Length` está presente e o `Transfer-Encoding` está ausente, o middleware permite a requisição se o valor declarado for pequeno o suficiente. Isso pode levar ao aumento do consumo de CPU e memória por requisição, pois os handlers processam payloads excessivos, embora o impacto seja limitado pelos limites gerais de tamanho de requisição da plataforma.

No AWS Lambda@Edge, o CloudFront entrega cabeçalhos de requisição que aparecem múltiplas vezes como entradas separadas. O adaptador utiliza a função `Headers.set` em vez de `Headers.append`, fazendo com que cada valor subsequente sobrescreva o anterior, resultando em apenas o último valor chegar à aplicação. Isso causa a truncagem silenciosa de cabeçalhos de requisição repetidos, como `X-Forwarded-For`, `Forwarded` e `Via`, para um único valor. Consequentemente, o middleware de requisição recebe dados incompletos em vez da cadeia completa. Para aplicações que utilizam a cadeia `X-Forwarded-For` para controle de acesso, isso pode enfraquecer ou alterar as decisões de segurança e, para fins de auditoria, o histórico de saltos (hop history) é perdido.

Na função `app.mount()`, o prefixo de montagem é removido do caminho da requisição recebida utilizando o pathname da URL bruta, enquanto a correspondência de rota é realizada contra o caminho decodificado (percent-decoded). Essa inconsistência faz com que o prefixo seja removido na posição errada quando o caminho contém caracteres multi-byte codificados em percentual, resultando no recebimento de um caminho incorreto pela sub-aplicação montada.

Um problema de desreferência de ponteiro nulo foi descoberto em uma biblioteca leve de realce de sintaxe. A biblioteca falha ao validar o resultado de uma correspondência de expressão regular antes de acessar suas propriedades ao processar elementos com valores de cor CSS não padrão, levando a um TypeError não capturado e potencial falha na aplicação.