【缝隙公告】Mitmproxy HTTP 要求走私缝隙（CVE-2022-24766）
颁布功夫 2022-03-310x00 缝隙概述
CVE ID | CVE-2022-24766 | 时 间 | 2022-03-21 |
类 型 | HTTP 要求走私 | 等 级 | 高危 |
远程利用 | 是 | 影响领域 | |
攻击复杂度 | 低 | 用户交互 | 无 |
PoC/EXP | 在野利用 |
0x01 缝隙详情
mitmproxy是一个交互式的、支持 SSL/TLS 的拦截代理，带有 HTTP/1、HTTP/2 和 WebSockets 的节造台界面。
3月21日，mitmproxy项目颁布布告，建复了mitmproxy中的一个HTTP 要求走私缝隙（CVE-2022-24766），该缝隙的CVSS评分为9.8。
在 mitmproxy 7.0.4 及之前的版本中，由于对 HTTP 要求走私的�；げ患�，恶意客户端或服务器可能通过 mitmproxy 执行 HTTP 要求走私攻击。这意味着恶意客户端/服务器能够通过 mitmproxy 将要求/响应作为另一个要求/响应的 HTTP 新闻体的一部门走私。固然 mitmproxy 只会看到一个要求，但指标服务器会看到多个要求。走私的要求仍会作为另一个要求正文的一部门被捕获，但它不会呈此刻要求列表中，也不会通过通常的 mitmproxy 事务挂钩，用户可能已经执行了自界说接见节造查抄或输入算帐。
该缝隙通�；嵊跋焓褂胢itmproxy来�；� HTTP/1 服务的 mitmproxy 用户，HTTP/2 不受影响。固然该缝隙的CVSS评分为9.8，但项目守护人员暗示利用此缝隙并不容易。
影响领域
mitmproxy <=7.0.4
0x02 安全建议
目前此缝隙已经建复，受影响用户能够升级更新到mitmproxy 8.0.0 或更高版本。
下载链接：
https://github.com/mitmproxy/mitmproxy/releases/tag/v8.0.0
0x03 参考链接
https://github.com/mitmproxy/mitmproxy/security/advisories/GHSA-gcx2-gvj7-pxv3
https://nvd.nist.gov/vuln/detail/CVE-2022-24766
https://latesthackingnews.com/2022/03/30/a-mitmproxy-vulnerability-could-allow-http-request-smuggling-attacks/
0x04 版本信息
版本 | 日期 | 批改内容 |
V1.0 | 2022-03-31 | 初次颁布 |
0x05 附录
GA黄金甲简介
GA黄金甲公司成立于1996年，并于2010年6月23日在深交所中幼板正式挂牌上市，是国内极具实力的、占有齐全自主知识产权的网络安全产品、可信安全治理平台、安全服务与解决规划的综合提供商。
公司总部位于北京市中关村软件园，在全国各省、视注自治区设有分支机构，占有覆盖全国的渠路系统和技术支持中心，并在北京、上海、成都、广州、长沙、杭州等多地设有研发中心。
多年来，GA黄金甲致力于提供拥有国际竞争力的自主创新的安全产品和最佳实际服务，援手客户全面提升其IT基础设施的安全性和出产效力，为打造和提升国际化的民族信息安全产业领军品牌而不懈致力。
关于GA黄金甲
GA黄金甲安全应急响应中心重要针对沉要安全缝隙的预警、跟踪和分享全球最新的威胁谍报和安全汇报。
关注以下公家号，获取全球最新安全资讯：
京公网安备11010802024551号