📰 Informação fresquinha chegando para você!
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
PortSwigger diz que o HTTP Terminator, um sistema de pesquisa assistido por inteligência artificial (IA) construído por James Kettle, gerou e comprovou novas técnicas de dessincronização HTTP depois de explorar 30.000 vetores de dessincronização candidatos.
PortSwigger disse que uma cascata separada de descoberta guiada por humanos também expôs um dia zero no Apache Traffic Server. Kettle disse que o HTTP Terminator testou 30.000 sites onde a varredura foi autorizada por meio de programas de recompensa de bugs ou divulgação de vulnerabilidades e encontrou cerca de 700 alvos vulneráveis antes de uma validação mais profunda e pesquisa RQP.
Kettle disse que essas descobertas envolveram bancos, infraestrutura governamental, produtos de segurança e um aeroporto.
A pesquisa produziu novos gatilhos de dessincronização, um padrão de comprimento de conteúdo de correspondência dupla e uma técnica de "byte pendente" projetada para tornar o envenenamento de fila de resposta (RQP) mais confiável. O RQP pode potencialmente fazer com que um front-end perca o controle de qual resposta de back-end pertence a qual usuário, expondo potencialmente a resposta de outro usuário, incluindo cookies de sessão ou chaves de API.
Os pesquisadores também divulgaram o Shared-Parser Confusion, um conceito de ataque mais amplo que o sistema propôs, mas que Kettle validou. A defesa não mudou: PortSwigger recomenda evitar o upstream HTTP/1.1. Onde o HTTP/1.1 não puder ser removido, ele recomenda listar métodos em ambas as camadas e restringir quais métodos podem transportar corpos de solicitação.
No artigo técnico, Kettle disse que alimentou HTTP Terminator 138 RFCs HTTP e SMTP. Essas RFCs foram divididas em cerca de 15.000 pequenos fragmentos e usadas como inspiração para gerar 30.000 vetores candidatos únicos.
A técnica One Content-Type: multipart/byteranges funcionou em múltiplas implementações de servidores e expôs mais de 200 sites no conjunto de testes, incluindo um banco norte-americano não identificado.
A pesquisa autônoma testou então 16 ideias para melhorar o RQP. Apenas a técnica de bytes pendentes sobreviveu à avaliação. Ele deixa uma solicitação contrabandeada com um byte a menos, de modo que a segunda resposta de back-end não seja produzida até que uma solicitação da vítima forneça o byte ausente, eliminando uma condição de corrida que, de outra forma, tornaria o RQP não confiável em muitos sites.
Na cascata guiada por humanos, uma solicitação malformada acabou expondo a dessincronização de dia zero no Apache Traffic Server. Os pesquisadores disseram que o problema já foi corrigido e rastreado como CVE-2026-63078.
Uma verificação de 7 de agosto feita pelo The Hacker News não encontrou um registro público para CVE-2026-63078 em CVE.org ou NVD, e o comunicado de julho do Apache cobrindo 34 falhas não o listou. Isso deixa uma lacuna de verificação em torno do caso Apache: os registros públicos citados ainda não permitem que os defensores mapeiem o CVE-2026-63078 para uma versão fixa específica do Traffic Server.
Kettle disse que a confusão do analisador compartilhado surgiu quando o HTTP Terminator percebeu que as regras de processamento de resposta poderiam ser mal aplicadas às solicitações quando os servidores reutilizavam a lógica de análise. O sistema propôs o conceito, mas Kettle, diretor de pesquisa da PortSwigger, o validou e generalizou. “Nenhum de nós teria descoberto isso sozinho”, disse ele.
Essa distinção define o limite de autonomia nesta pesquisa: o sistema gerou e provou diversas técnicas sem entrada direta de descoberta humana, enquanto o dia zero do Apache e a confusão do analisador compartilhado ainda exigiam a intervenção de Kettle.
PortSwigger possui HTTP Terminator de código aberto. O artigo não identifica qual modelo ou versão exata gerou cada descoberta autônoma. A implementação lançada usa Claude para extração de documentos e geração de casos de teste, enquanto seu estágio de investigador requer Claude Code.
Separadamente, os pesquisadores por trás dos ataques de dessincronização com tecnologia CRLF lançaram ferramentas públicas para estudar essa classe de ataque, incluindo crlf-desyncs e crlf-powered-desync-scanner.
Kettle testou separadamente modelos mais novos em um benchmark de redescoberta e relatou uma taxa de sucesso de 30% para GPT-5.6 Sol quando recebeu uma técnica de inspiração.
PortSwigger disse que uma cascata separada de descoberta guiada por humanos também expôs um dia zero no Apache Traffic Server. Kettle disse que o HTTP Terminator testou 30.000 sites onde a varredura foi autorizada por meio de programas de recompensa de bugs ou divulgação de vulnerabilidades e encontrou cerca de 700 alvos vulneráveis antes de uma validação mais profunda e pesquisa RQP.
Kettle disse que essas descobertas envolveram bancos, infraestrutura governamental, produtos de segurança e um aeroporto.
A pesquisa produziu novos gatilhos de dessincronização, um padrão de comprimento de conteúdo de correspondência dupla e uma técnica de "byte pendente" projetada para tornar o envenenamento de fila de resposta (RQP) mais confiável. O RQP pode potencialmente fazer com que um front-end perca o controle de qual resposta de back-end pertence a qual usuário, expondo potencialmente a resposta de outro usuário, incluindo cookies de sessão ou chaves de API.
Os pesquisadores também divulgaram o Shared-Parser Confusion, um conceito de ataque mais amplo que o sistema propôs, mas que Kettle validou. A defesa não mudou: PortSwigger recomenda evitar o upstream HTTP/1.1. Onde o HTTP/1.1 não puder ser removido, ele recomenda listar métodos em ambas as camadas e restringir quais métodos podem transportar corpos de solicitação.
No artigo técnico, Kettle disse que alimentou HTTP Terminator 138 RFCs HTTP e SMTP. Essas RFCs foram divididas em cerca de 15.000 pequenos fragmentos e usadas como inspiração para gerar 30.000 vetores candidatos únicos.
A técnica One Content-Type: multipart/byteranges funcionou em múltiplas implementações de servidores e expôs mais de 200 sites no conjunto de testes, incluindo um banco norte-americano não identificado.
A pesquisa autônoma testou então 16 ideias para melhorar o RQP. Apenas a técnica de bytes pendentes sobreviveu à avaliação. Ele deixa uma solicitação contrabandeada com um byte a menos, de modo que a segunda resposta de back-end não seja produzida até que uma solicitação da vítima forneça o byte ausente, eliminando uma condição de corrida que, de outra forma, tornaria o RQP não confiável em muitos sites.
Na cascata guiada por humanos, uma solicitação malformada acabou expondo a dessincronização de dia zero no Apache Traffic Server. Os pesquisadores disseram que o problema já foi corrigido e rastreado como CVE-2026-63078.
Uma verificação de 7 de agosto feita pelo The Hacker News não encontrou um registro público para CVE-2026-63078 em CVE.org ou NVD, e o comunicado de julho do Apache cobrindo 34 falhas não o listou. Isso deixa uma lacuna de verificação em torno do caso Apache: os registros públicos citados ainda não permitem que os defensores mapeiem o CVE-2026-63078 para uma versão fixa específica do Traffic Server.
Kettle disse que a confusão do analisador compartilhado surgiu quando o HTTP Terminator percebeu que as regras de processamento de resposta poderiam ser mal aplicadas às solicitações quando os servidores reutilizavam a lógica de análise. O sistema propôs o conceito, mas Kettle, diretor de pesquisa da PortSwigger, o validou e generalizou. “Nenhum de nós teria descoberto isso sozinho”, disse ele.
Essa distinção define o limite de autonomia nesta pesquisa: o sistema gerou e provou diversas técnicas sem entrada direta de descoberta humana, enquanto o dia zero do Apache e a confusão do analisador compartilhado ainda exigiam a intervenção de Kettle.
PortSwigger possui HTTP Terminator de código aberto. O artigo não identifica qual modelo ou versão exata gerou cada descoberta autônoma. A implementação lançada usa Claude para extração de documentos e geração de casos de teste, enquanto seu estágio de investigador requer Claude Code.
Separadamente, os pesquisadores por trás dos ataques de dessincronização com tecnologia CRLF lançaram ferramentas públicas para estudar essa classe de ataque, incluindo crlf-desyncs e crlf-powered-desync-scanner.
Kettle testou separadamente modelos mais novos em um benchmark de redescoberta e relatou uma taxa de sucesso de 30% para GPT-5.6 Sol quando recebeu uma técnica de inspiração.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #terminator #http #assistido #por #ia #encontra #novas #técnicas #de #dessincronização #de #http #e #apache #zeroday
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário