Uma grande vulnerabilidade de segurança atingiu o serviço mitmproxy. A falha permitia que um usuários não autorizados conduzissem ataques de contrabando de solicitações HTTP. O serviço já lançou uma correção. Assim, a vulnerabilidade não enfrentou a exploração em estado selvagem, o que é muito bom.
Especificamente, mitmproxy é um proxy HTTPS de código aberto, útil para testes de penetração, depuração e outras atividades relacionadas. Ele pode ajudar a “interceptar, inspecionar, modificar e reproduzir o tráfego da Web, como HTTP/1, HTTP/2, WebSockets ou qualquer outro protocolo protegido por SSL/TLS”.
Bug de contrabando de solicitação HTTP mitmproxy
De acordo com um comunicado recente do mitmproxy, os desenvolvedores lançaram o mitmproxy 8 com várias correções de bugs. Isso inclui uma correção de segurança significativa, abordando uma vulnerabilidade de contrabando de solicitação HTTP.
Conforme elaborado, o bug chamou a atenção do pesquisador Zhang Zeyu, que então o relatou aos mantenedores do mitmproxy. De acordo com os detalhes compartilhados em um comunicado separado do GitHub, um ataque de contrabando de solicitação HTTP ameaçou o mitmproxy 7.0.4 e versões anteriores.
Em um comunicado, o serviço (Via: LatestHackingNews) disse que, com a vulnerabilidade, um cliente/servidor malicioso pode contrabandear uma solicitação/resposta através do mitmproxy como parte do corpo da mensagem HTTP de outra solicitação/resposta. “Enquanto o mitmproxy veria apenas uma solicitação, o servidor de destino veria várias solicitações. Uma solicitação contrabandeada ainda é capturada como parte do corpo de outra solicitação, mas não aparece na lista de solicitações e não passa pelos ganchos de eventos mitmproxy usuais, onde os usuários podem ter implementado verificações de controle de acesso personalizadas ou sanitização de entrada”.
Usuários afetados
A falha normalmente afetava os usuários do mitmproxy que usavam esse serviço para proteger o serviço HTTP/1; HTTP/2 permanece inalterado. Este bug recebeu o número de identificação CVE-2022-24766 com uma classificação de gravidade crítica e uma pontuação básica de 9,8.
No entanto, de acordo com a declaração de Maximilian Hils, mantenedor do mitmproxy (Via: LatestHackingNews), ao DailySwig, explorar essa vulnerabilidade não é fácil. “De um ponto de vista prático, eu diria que o impacto é inexistente para a grande maioria dos usuários… Existem muitas pré-condições não tão comuns que precisam ser atendidas”.
Como a versão corrigida está disponível publicamente, os usuários devem garantir a atualização o mais rápido possível para obter a correção. Se você ainda não instalou a atualização, pode fazer isso agora mesmo e garantir que se livrará dessa vulnerabilidade definitivamente.
Via: LatestHackingNews