Công cụ AI phát hiện biến thể mới của tấn công HTTP request smuggling
"James Kettle of PortSwigger discussed an AI-powered open source tool that discovered new HTTP request-smuggling techniques, expanding the known space of HTTP desynchronization attacks. The content does not mention a specific CVE or a deployed fix, but it indicates the tool was used to identify novel attack variants relevant to request parsing and proxy/backend desync behavior."
Tăng rủi ro đối với proxy/backend desync, có thể dẫn đến request smuggling và thao túng luồng xử lý HTTP.
Có thể ảnh hưởng đến cổng API, load balancer và dịch vụ web, gây gián đoạn hoặc phát sinh chi phí kiểm thử và khắc phục.
James Kettle của PortSwigger cho biết một công cụ mã nguồn mở có tích hợp AI đã phát hiện các kỹ thuật HTTP request smuggling mới, qua đó mở rộng phạm vi các biến thể HTTP desynchronization đã biết. Nội dung không nêu CVE cụ thể hay bản vá triển khai, nhưng cho thấy công cụ này có thể hỗ trợ kiểm tra cách proxy và backend diễn giải yêu cầu HTTP không đồng bộ.
Về mặt kỹ thuật, phát hiện này nhấn mạnh rằng các hệ thống xử lý HTTP phức tạp vẫn có thể tồn tại sai khác trong request parsing, tạo điều kiện cho kẻ tấn công chèn hoặc tách yêu cầu ngoài ý muốn. Các tổ chức vận hành cổng API, reverse proxy, load balancer hoặc chuỗi dịch vụ web nên rà soát cấu hình và kiểm thử hành vi phân tích HTTP giữa các lớp.
Khuyến nghị: thực hiện kiểm thử request smuggling, đối chiếu cấu hình proxy/backend, cập nhật thành phần liên quan khi có bản sửa, và tăng giám sát lưu lượng bất thường ở lớp biên.