flawopen.com/Teardowns/cve-2022-31150-undici-crlf-injection-ssrf

● CVE-2022-31150 · CVSS 6.5 · Média
Pesquisa · FlawOpen

CVE-2022-31150: Node.js Undici CRLF Injection & SSRF Teardown

Análise técnica detalhada e engenharia de mitigação do patch para vulnerabilidade: How unvetted carriage return characters in HTTP header values allowed attackers to split outgoing HTTP requests in Node.js globalThis.fetch().

💡 Explicação em Linguagem Simples (ELI5)

Imagine que você envia uma carta lacrada pelo correio dizendo: "Envie 10 caixas de maçãs". Mas você insere sorrateiramente uma segunda folha falsa com ordens oficiais: "PARE. DESCONSIDERE O ANTERIOR. TRANSFIRA TODOS OS FUNDOS PARA A EVIL CORP". O funcionário do correio lê as folhas em sequência e trata a segunda página como uma nova carta oficial, redirecionando seu dinheiro diretamente para o invasor.

Conceitos Centrais e Termos

Undici
The official next-generation HTTP/1.1 client for Node.js, powering the global fetch() implementation.
CRLF Injection
Injecting Carriage Return (\r) and Line Feed (\n) characters into HTTP headers to create a new header or a whole new request.
HTTP Request Splitting
A vulnerability where an attacker splits a single outgoing HTTP connection into two separate requests.
SSRF (Server-Side Request Forgery)
Coercing a backend server to issue unauthorized requests to internal cloud metadata APIs (169.254.169.254).

Análise de Causa Raiz

A causa raiz decorre de parâmetros de limite não validados em sistemas de código aberto, permitindo a dessincronização de estado e a evasão dos controles de segurança.

Fluxo de Ataque Passo a Paso

Step 1

Fase de ataque: Input Submission

Mecanismo de exploração técnica: An attacker supplies a crafted header value: Admin\r\nHost: 169.254.169.254.

Step 2

Fase de ataque: Application Issues Fetch

Mecanismo de exploração técnica: The Node.js backend calls fetch(url, { headers: { 'X-User': input } }).

Step 3

Fase de ataque: Header Splitting in Undici

Mecanismo de exploração técnica: Undici serializes the headers without sanitizing \r\n, injecting the forged Host header.

Step 4

Exfiltração de dados : Cloud Metadata Exfiltration

Mecanismo de exploração técnica: The internal proxy directs the request to the cloud metadata service, exposing AWS/GCP credentials.

Código-Fonte: Vulnerável vs. Seguro

IMPLEMENTAÇÃO VULNERÁVEL
// VULNERABLE: lib/core/request.js before patch
function addHeader(headers, key, value) {
    // ROOT CAUSE:
    // Does not sanitize or reject carriage return (\r) and line feed (\n) in values!
    // Allows attackers to split headers and inject arbitrary HTTP directives!
    headers[key] = value;
}
PATCH SEGURO E ROBUSTO
// SECURE: lib/core/request.js patch
function addHeader(headers, key, value) {
    // 1. Strict regex checking for dangerous control characters
    const INVALID_HEADER_CHAR_REGEX = /[\r\n]/;
    
    if (INVALID_HEADER_CHAR_REGEX.test(key) || INVALID_HEADER_CHAR_REGEX.test(value)) {
        throw new TypeError(`Invalid character in header content: ["${key}": "${value}"]`);
    }
    
    headers[key] = value;
}

Lista de Verificação de Segurança para Engenharia

Fontes