AI hỗ trợ phát hiện kỹ thuật HTTP desync mới và lỗ hổng zero-day trên Apache Traffic Server
"PortSwigger reported that its AI-assisted HTTP Terminator system generated and validated new HTTP desynchronization techniques after exploring 30,000 candidate vectors, including a dual Content-Length pattern and a dangling-byte method that improves response queue poisoning reliability. The research also uncovered a desynchronization zero-day in Apache Traffic Server, tracked as CVE-2026-63078 and described as patched, though the cited public CVE records were not yet available to verify the fix details."
Rủi ro tập trung vào HTTP desynchronization, có thể dẫn đến RQP và lộ dữ liệu phiên như cookie hoặc API key. Việc xuất hiện CVE-2026-63078 cho thấy bề mặt tấn công của Apache Traffic Server cần được rà soát sớm.
Ảnh hưởng có thể lan tới ngân hàng, hạ tầng công, và các dịch vụ web có proxy nhiều lớp. Nếu cấu hình không phù hợp, sự cố có thể gây rò rỉ dữ liệu, gián đoạn xử lý yêu cầu và tăng chi phí khắc phục.
PortSwigger cho biết hệ thống nghiên cứu HTTP Terminator có hỗ trợ AI đã tạo ra và xác thực nhiều kỹ thuật HTTP desynchronization mới sau khi thử khoảng 30.000 vector ứng viên. Trong số đó có mẫu dual Content-Length và kỹ thuật dangling-byte, được thiết kế để tăng độ tin cậy của response queue poisoning (RQP).
Nghiên cứu cũng ghi nhận một zero-day trên Apache Traffic Server, được theo dõi là CVE-2026-63078 và được mô tả là đã được vá. Tuy nhiên, bài viết nêu rằng chưa có bản ghi công khai tương ứng trên CVE.org hoặc NVD tại thời điểm kiểm tra, nên chi tiết bản vá vẫn chưa thể đối chiếu độc lập.
Theo PortSwigger, các thử nghiệm được thực hiện trên khoảng 30.000 website đã được cấp phép quét, phát hiện gần 700 mục tiêu có dấu hiệu dễ bị ảnh hưởng trước khi đi sâu xác minh. Một số hệ thống liên quan đến ngân hàng, hạ tầng chính phủ, sản phẩm bảo mật và sân bay.
Khuyến nghị kỹ thuật là loại bỏ HTTP/1.1 ở upstream nếu có thể; nếu không, cần allow-list phương thức ở cả hai lớp và giới hạn phương thức được phép mang request body. Các đội vận hành nên rà soát cấu hình proxy, kiểm tra khả năng desync và ưu tiên cập nhật bản vá cho Apache Traffic Server.