POC per CVE-2023-32681

Questa è un'implementazione Python 3 di CVE-2023-32681, che colpisce i client che utilizzano la versione requests <= 2.30.0.

Come da https://www.rfc-editor.org/rfc/rfc9110.html#section-15.4, ogni volta che il server emette un reindirizzamento 3xx, lo user-agent dovrebbe modificare la richiesta per rimuovere determinate intestazioni e campi dalla richiesta.

I dettagli di questi campi sono disponibili su https://www.rfc-editor.org/rfc/rfc9110.html#section-15.4-5. Specifico per questa CVE, ho evidenziato la parte rilevante qui.

La versione requests <= 2.30.0 non rimuoveva le intestazioni "Proxy-Authorization" durante la gestione del reindirizzamento a "https", perdendo così le credenziali del proxy verso il server di reindirizzamento.

Ulteriori dettagli sono disponibili su

Prerequisiti

Set valido di certificati per il server HTTP(S). Puoi usare mkcert per generare i certificati localmente.
Go v1.19
Python 3.x
virtualenv (Opzionale)

Panoramica

Implementazione del server proxy in Go. Avvia un server proxy sulla porta 8080 e richiede un'autenticazione di base. Ai fini della POC, ha nome utente e password hardcoded definiti nello stesso file.
Implementazione del server HTTP(S) in Go. Avvia 2 server.
- Server di reindirizzamento in ascolto sulla porta 443 e un altro server echo in ascolto sulla porta 4431.
- Il server di reindirizzamento definisce una rotta /redirect che reindirizza il traffico al secondo server in esecuzione sulla 4431.
- Il server echo definisce una rotta /echoHeaders. Questa rotta restituisce al client le intestazioni ricevute nella richiesta.
Script Python della POC. Invia una richiesta tramite proxy al server di reindirizzamento in esecuzione sulla porta 443 e stampa la risposta restituita dal server.
Se la risposta contiene le intestazioni Proxy-Authorization, la versione di requests è considerata vulnerabile a "CVE-2023-32681".

Passaggi

Clona questo repository.
Aggiorna le variabili certFile e keyFile in server/main.go.
Avvia i server HTTP(S) eseguendo il comando go run server/main.go. Questo avvierà due server in ascolto sulle porte 443 e 4431.
Avvia il server proxy eseguendo il comando go run proxy/main.go. Questo avvierà il server proxy sulla porta 8080.
Installa le dipendenze per eseguire lo script Python pip3 install -r script/requirements_request_2_30_0.txt
Esegui lo script della POC con python3 script/poc.py e osserva l'output. Puoi notare che l'intestazione "Proxy-Authorization" viene restituita dal server nella risposta. Il server stampa inoltre le intestazioni ricevute nei log.
Ora aggiorna la versione di requests a >= 2.31.0 oppure esegui pip3 install -r script/requirements_request_2_31_0.txt
Esegui nuovamente lo script della POC con python3 script/poc.py e osserva l'output. Puoi notare che l'intestazione "Proxy-Authorization" ora non è più presente nella risposta del server. La stessa cosa può essere verificata anche nei log del server.