CVE-2026-75484 in bandit
Tóm tắt
Bởi VulDB • 22/08/2026
Lỗ hổng "CRLF Injection" (Xâm nhập CRLF) do xử lý không đúng các chuỗi ký tự CRLF trong Bandit của mtrudel cho phép một kẻ tấn công từ xa chưa xác thực chèn ngầm các ký tự CR, LF hoặc NUL vào các tiêu đề yêu cầu hiển thị với ứng dụng thông qua HTTP/2. Hàm `Bandit.HTTP2.Stream.read_headers/1` kiểm tra vị trí và tính duy nhất của pseudo-header, chữ hoa/thường của tên header, các header đặc biệt cho kết nối, giá trị `te`, và `content-length`, nhưng không bao giờ kiểm tra giá trị của trường (field values). Vì HPACK mang theo các octet tùy ý, một khối HEADERS có chứa `\r`, `\n` hoặc `\0` trong giá trị trường sẽ được giải mã mà không báo lỗi, và các giá trị này xuất hiện trong `conn.req_headers` nguyên vẹn. Đường dẫn HTTP/1 đã từ chối các octet tương tự; tuy nhiên, HTTP/2 thì không.
Bandit bản thân nó không phải là điểm tiếp nhận (sink) cho các byte bị chèn: việc ghi log của riêng Bandit sử dụng chuỗi cố định hoặc `inspect`, và các tiêu đề phản hồi HTTP/2 được mã hóa HPACK cũng như bị từ chối riêng biệt bởi hàm `Plug's put_resp_header`, do đó, tấn công tách tiêu đề phản hồi (response splitting) không thể thực hiện được qua đường dẫn này. Rủi ro hoàn toàn nằm ở cách ứng dụng phía downstream xử lý các giá trị header, chẳng hạn như nối trực tiếp một giá trị vào nhật ký văn bản thuần túy hoặc ghép nó vào yêu cầu upstream. Một lỗ hổng liên quan cũng được sửa trong cùng bản vá: chỉ có `:method`, `:scheme` và `:path` được kiểm tra để đảm bảo không xuất hiện quá một lần; pseudo-header `:authority` trùng lặp vẫn được chấp nhận, với phiên bản đầu tiên thắng thế ngầm định làm giá trị của `conn.host` trong khi giá trị mâu thuẫn vẫn hiển thị đối với ứng dụng.
Vấn đề này ảnh hưởng đến bandit: từ phiên bản 1.4.0 trước 1.12.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.