HTTP istek kaçakçılığı, art arda çalışan sunucuların bir isteğin nerede bitip diğerinin nerede başladığını farklı yorumlamasından yararlanan bir saldırıdır. Modern web mimarilerinde, bir istek genellikle önce bir ön uç sunucudan geçer, ardından arka uç sunucuya iletilir. Bu iki sunucu, istek sınırlarını belirleyen başlıkları farklı yorumlarsa, saldırgan bu tutarsızlığı kötüye kullanabilir. Böylece bir isteğin içine gizlenmiş ikinci bir istek, arka uç tarafından ayrı bir istek olarak işlenebilir. Bu gizli istek, güvenlik kontrollerini atlatarak beklenmedik sonuçlar doğurabilir.

Zafiyetin kökeninde, istek uzunluğunu belirleyen başlıkların çelişkili kullanımı yatar. İki farklı başlık, bir isteğin uzunluğunu belirlemek için kullanılabilir ve sunucular bunlardan hangisine öncelik vereceği konusunda farklı davranabilir. Bu farklılık, ön uç ile arka uç arasında bir yorum boşluğu yaratır. Saldırgan, bu boşluğu kullanarak istek sınırını manipüle eder. Bu nedenle savunmanın temeli, sunucuların istek sınırlarını tutarlı biçimde yorumlamasını sağlamaktır.

HTTP İstek Kaçakçılığı Nedir?

HTTP istek kaçakçılığı, art arda çalışan sunucuların istek sınırlarını farklı yorumlamasından yararlanarak gizli bir isteğin ayrı bir istek olarak işlenmesini sağlayan bir saldırıdır.

Saldırının etkisi, gizlenen isteğin ne yaptığına bağlı olarak değişir. Saldırgan, gizli istekle başka kullanıcıların isteklerini etkileyebilir ya da güvenlik kontrollerini atlatabilir. Örneğin, bir kullanıcının isteğine kendi zararlı içeriğini ekleyerek onu hedef alabilir. Bu nedenle saldırı, yalnızca saldırganı değil diğer kullanıcıları da etkileyebilir. Bu geniş etki, zafiyeti ciddi bir mimari risk hâline getirir.

Nasıl Sömürülür?

Saldırgan, çelişkili istek sınırı başlıkları içeren özel bir istek hazırlar. Ön uç sunucu isteği bir biçimde yorumlarken, arka uç sunucu onu farklı biçimde yorumlar. Bu farklılık, arka uçta beklenmedik bir istek sınırı oluşturur. Saldırganın gizlediği içerik, arka uç tarafından bir sonraki isteğin parçası olarak işlenir. Böylece saldırgan, diğer kullanıcıların isteklerine müdahale edebilir.

Bu saldırı, önbellek zehirlenmesi gibi diğer saldırılarla birleştiğinde etkisi artar. Gizlenen istek, önbelleğe zararlı içerik yerleştirmek için kullanılabilir. Web önbellek zehirlenmesi bu yolla gerçekleştirilebilir. İki zafiyetin birleşimi, tek bir saldırıyla çok sayıda kullanıcıyı etkileyebilir. Bu nedenle istek kaçakçılığı, diğer zafiyetlerle birlikte değerlendirilmelidir.

• Çelişkili istek sınırı başlıklarının kullanımı
• Ön uç ile arka uç arasındaki yorum farkının kötüye kullanımı
• Gizli isteğin ayrı bir istek olarak işlenmesi
• Diğer kullanıcıların isteklerine müdahale
• Önbellek zehirlenmesiyle birleşerek etkinin artması

Nasıl Önlenir?

En temel önlem, sunucuların istek sınırlarını tutarlı biçimde yorumlamasını sağlamaktır. Ön uç ve arka uç sunucular, aynı yorumlama kurallarını uygulayacak biçimde yapılandırılmalıdır. Çelişkili başlıklar içeren istekler, tutarsızlık yaratmadan reddedilmelidir. Bu tutarlılık, saldırının dayandığı yorum boşluğunu ortadan kaldırır. Sunucular arası uyum, bu zafiyete karşı en güçlü savunmadır.

İkinci önlem, kullanılan sunucu yazılımlarının güncel tutulmasıdır. Bu zafiyetlere karşı korumalar, çoğu zaman güncellemelerle sağlanır. Eski sürümler, bilinen kaçakçılık tekniklerine açık kalabilir. Bu nedenle tüm sunucu bileşenleri düzenli olarak güncellenmelidir. Güncel yazılımlar, hem bu zafiyet hem de diğer bilinen riskler açısından koruma sağlar.

Üçüncü önlem, tek bir tutarlı protokol sürümü kullanmaktır. Farklı protokol sürümlerinin karışık kullanımı, yorum tutarsızlıklarını artırabilir. Mimarideki tüm bileşenlerin uyumlu biçimde çalışması, bu riski azaltır. Web uygulama güvenlik duvarı de bilinen kaçakçılık desenlerini yakalayan ek bir katman sağlayabilir. Bu katmanlar birlikte, savunmayı güçlendirir.

Mimari Kaynaklı Bir Risk

Bu zafiyet, tekil bir kodlama hatasından çok mimari bir uyumsuzluktan kaynaklanır. Modern web mimarilerinde araya giren ters proxy ve yük dengeleyici gibi katmanlar, isteği farklı biçimlerde yorumlayabilir. Bu katmanların sayısı arttıkça, yorum tutarsızlığı olasılığı da artar. Bu nedenle zafiyet, mimarinin bütünü göz önünde bulundurularak değerlendirilmelidir. Tek bir bileşene odaklanmak, katmanlar arası uyumsuzluğu gözden kaçırabilir.

Bu mimari doğa, savunmanın da mimari düzeyde tasarlanmasını gerektirir. Tüm bileşenlerin istek sınırlarını aynı biçimde yorumlaması, tasarım aşamasında güvence altına alınmalıdır. Bileşenlerin uyumlu sürümlerinin kullanılması, tutarsızlık riskini azaltır. Ayrıca mimarinin sadeleştirilmesi, gereksiz katmanların kaldırılması da yardımcı olur. Sade ve tutarlı bir mimari, bu zafiyete karşı doğal bir direnç sağlar.

Privia Security olarak çok katmanlı web mimarilerinde istek işleme zafiyetlerinin tespitini düzenli zafiyet tarama kapsamında değerlendiriyoruz.