Контакты
Подписка 2024
Персональные данные
4 апреля. Персональные данные в 2024 году: регулирование, практика, тенденции
Регистрируйтесь на онлайн-конференцию!

Представлена новая разновидность атаки HTTP request smuggling

18/09/20

smuggling http

Специалист компании Bishop Fox Джейк Миллер (Jake Miller) представил новую разновидность атаки HTTP request smuggling, получившую название h2c smuggling.

HTTP request smuggling – метод вмешательства в процесс обработки web-сайтом последовательностей HTTP-запросов, полученных от одного или нескольких пользователей. Такая атака может привести к различным последствиям, в том числе к XSS-атакам на сеансы других пользователей, переадресации пользователей на сторонние ресурсы, спуфингу DNS, подобию SSRF-атак и пр.

H2c – это установленное сокращение протокола HTTP/2, инициированное заголовком Upgrade в HTTP/1.1, отправляемым через открытый текст. В ходе атаки h2c smuggling злоумышленник может использовать h2c для отправки запросов на промежуточный сервер (прокси-сервер), который затем обходит механизмы контроля доступа к серверу.

Последствия атаки h2c smuggling весьма серьезны и могут причинить ущерб коммерческим организациям. К примеру, злоумышленники могут использовать ее для подделки внутренних заголовков и доступа к конечным точкам внутренней сети.

Миллер не сообщил точное количество клиентов Bishop Fox, которых затрагивает данная уязвимость, но отметил, что их очень много.

Исследователи вывили уязвимые серверы в самых разных организациях из разных отраслей и разных масштабов. Их этого следует, что проблема не ограничивается организациями какого-то конкретного типа. Судя по всему, она имеет большой масштаб воздействия, так как ей подвержен практически любой прокси-сервер, в том числе конечные точки, такие как /api/ или /payments/.

Атака h2c smuggling не затрагивает пользователей непосредственно, но с ее помощью злоумышленники могут получить неавторизованный доступ к их данным или осуществлять действия в/из их учетных записей.

Темы:УгрозыHTTPBishop Fox
NGFW
9 апреля. Отечественные NGFW: как защитить облачную инфраструктуру и настроить обнаружение кибератак
Участвуйте и представляйте решения!
Статьи по темеСтатьи по теме

Хотите сотрудничать?

Выберите вариант!

Печатное издание
Интернет-портал
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
SOAR, IRP, SOC
Спецпроекты журнала "Информационная безопасность"
Станьте автором издания!

Еще темы...

More...