POC para CVE-2023-32681

Esta es una implementación en Python 3 de CVE-2023-32681, que afecta a clientes que usan requests versión <= 2.30.0.

Según https://www.rfc-editor.org/rfc/rfc9110.html#section-15.4, cuando el servidor emite una redirección 3xx, el agente de usuario debe modificar la solicitud para eliminar ciertos encabezados y campos de la misma.

Los detalles de esos campos se pueden encontrar en https://www.rfc-editor.org/rfc/rfc9110.html#section-15.4-5. Específico de este CVE, he resaltado la parte relevante aquí.

La versión requests <= 2.30.0 no eliminaba los encabezados "Proxy-Authorization" al manejar la redirección a "https", filtrando así las credenciales del proxy al servidor redirigido.

Se pueden encontrar más detalles al respecto en

Requisitos previos

Un conjunto válido de certificados para el servidor HTTP(S). Puedes usar mkcert para generar los certificados localmente.
Go v1.19
Python 3.x
virtualenv (Opcional)

Descripción general

Implementación del servidor proxy en Go. Inicia un servidor proxy en el puerto 8080 y requiere autenticación básica. Para fines del POC, tiene el nombre de usuario y contraseña hardcodeados definidos en el mismo archivo.
Implementación del servidor HTTP(S) en Go. Inicia 2 servidores.
- Un servidor de redirección escuchando en el puerto 443 y otro servidor echo escuchando en el puerto 4431.
- El servidor de redirección define una ruta /redirect que redirige el tráfico al segundo servidor ejecutándose en 4431.
- El servidor echo define una ruta /echoHeaders. Esta ruta devuelve al cliente los encabezados que recibió en la solicitud.
Script Python del POC. Envía una solicitud proxificada al servidor de redirección que se ejecuta en el puerto 443 e imprime la respuesta que devuelve el servidor.
Si la respuesta contiene los encabezados Proxy-Authorization, se dice que la versión de requests es vulnerable a "CVE-2023-32681".

Pasos

Clona este repositorio.
Actualiza las variables certFile y keyFile en server/main.go.
Inicia los servidores HTTP(S) ejecutando el comando go run server/main.go. Esto iniciará dos servidores escuchando en los puertos 443 y 4431.
Inicia el servidor proxy ejecutando el comando go run proxy/main.go. Esto iniciará el servidor proxy en el puerto 8080.
Instala las dependencias para ejecutar el script Python: pip3 install -r script/requirements_request_2_30_0.txt
Ejecuta el script POC con python3 script/poc.py y observa la salida. Puedes ver que el encabezado "Proxy-Authorization" es devuelto por el servidor en la respuesta. El servidor también imprime los encabezados recibidos en los registros.
Ahora, actualiza la versión de requests a >= 2.31.0 o ejecuta pip3 install -r script/requirements_request_2_31_0.txt
Vuelve a ejecutar el script POC con python3 script/poc.py y observa la salida. Puedes ver que el encabezado "Proxy-Authorization" ahora no está presente en la respuesta del servidor. Lo mismo se puede verificar en los registros del servidor.