Alla scoperta dell’HTTP Request Smuggling: cos’è e come difendersi

Immaginiamo una metropolitana notturna in cui le richieste sono vagoni che scorrono uno dopo l’altro. Il front end fa da bigliettaio e smista i vagoni, il back end è il deposito che li riceve e li lavora. Se il bigliettaio e il deposito non sono d’accordo su dove finisce un vagone e inizia quello successivo, si apre una fessura che qualcuno può sfruttare per infilare un vagone nascosto. Quel vagone nascosto è il contrabbando di richieste HTTP.

Nel mondo reale la cosa prende forma quando componenti diversi della catena di comunicazione interpretano in modo diverso la lunghezza del corpo di una richiesta. In HTTP versione uno ci sono due modi per dichiarare la lunghezza del corpo, uno è il content length e l’altro è la transfer encoding in modalità chunked. Quando i nodi intermedi o i server finali non concordano su quale metodo utilizzare, la stessa sequenza di byte può essere letta da un elemento come parte della richiesta corrente e da un altro come l’inizio della richiesta successiva.

Questo disaccordo non è una sottigliezza teorica ma una vera leva d’attacco. Le varianti che si incontrano più spesso sono quelle in cui il front end prende come riferimento il valore di lunghezza mentre il back end interpreta la codifica a blocchi, oppure il contrario, oppure ancora situazioni in cui entrambi supportano la codifica a blocchi ma uno dei due ignora l’intestazione perché leggermente deformata con spazi, tabulazioni o formattazioni non standard. In tutti i casi il risultato effettivo è lo stesso, una parte di dati che si ritrova dove non doveva essere e che può alterare il comportamento di richieste legittime successive.

Le conseguenze pratiche possono diventare molto serie. Una richiesta prepended può cambiare il contesto di una transazione e far credere al server che una chiamata autenticata appartenga a un utente diverso. Si possono rubare sessioni, bypassare filtri, avvelenare cache o inserire comandi nella sequenza di richieste che colpisce utenti successivi sulla stessa connessione. In ambienti moderni il rischio aumenta quando c’è il downgrade da HTTP due a HTTP uno perché la riscrittura o la traduzione dei messaggi introduce ulteriori punti di ambiguità, e quando le connessioni backend vengono riutilizzate per inviare più richieste una dopo l’altra perché il riuso moltiplica le possibilità che dati residui vengano interpretati come nuova richiesta.

Per capire dove guardare basta osservare i comportamenti divergenti tra front end e back end, le intestazioni duplicate o non conformi che emergono nei log e i casi in cui i log mostrano mismatch tra la lunghezza dichiarata e il contenuto reale. Questi segnali non sono la prova definitiva di una vulnerabilità ma sono la traccia che indica che la catena di elaborazione non è allineata e che vale la pena investigare. Dal punto di vista di chi progetta e mantiene l’infrastruttura la soluzione più robusta è eliminare l’ambiguità alla fonte.

La comunicazione end to end su HTTP due risolve il problema alla radice perché quel protocollo fornisce un unico, solido meccanismo per definire le dimensioni delle richieste. Quando non è possibile mantenere HTTP due su tutta la filiera la fase di traduzione verso HTTP uno deve essere trattata come un punto critico: la richiesta riscritta va verificata rispetto alla specifica e gli elementi della catena non devono tollerare deviazioni formattative che possano essere interpretate in modo diverso. Nei pezzi dell’infrastruttura che si occupano di accettare e inoltrare traffico è utile normalizzare le richieste e rilevare le ambiguità invece di tentare di correggerle in modo silente. Il back end, di norma, dovrebbe chiudere la connessione quando non è possibile risolvere un’ambiguità in modo certo, perché mantenere aperte connessioni impure è ciò che permette al contrabbando di propagarsi.

Limitare o controllare il riutilizzo delle connessioni backend riduce la finestra d’attacco anche se non la elimina del tutto. È importante anche uniformare la gestione delle intestazioni che determinano la lunghezza del corpo e non accettare varianti non standard che possono essere sfruttate per mascherare la codifica. A complemento di queste scelte architetturali, test specifici che replicano scenari di desincronizzazione e monitoraggio attento dei log aiutano a individuare regressioni e incidenti reali.

Da ultimo, vale la pena ricordare che le tecniche che permettono di generare desincronizzazione sono potenti e pericolose se usate senza autorizzazione, quindi la loro esplorazione va sempre confinata ad ambienti controllati e autorizzati e qualsiasi scoperta in sistemi di terzi va gestita con responsabilità e disclosure appropriata. Capire il meccanismo del contrabbando di richieste significa riconoscere che non stiamo parlando di bug isolati ma di disallineamenti di protocollo che emergono nelle catene complesse di servizi, ed è proprio per questo che la difesa efficace nasce dall’allineamento dei protocolli, dalla standardizzazione dei comportamenti e dalla capacità di osservare e reagire quando le cose non tornano.

L'articolo Alla scoperta dell’HTTP Request Smuggling: cos’è e come difendersi proviene da Red Hot Cyber.

Roblox: la piattaforma che mette a rischio la sicurezza dei bambini

Con oltre 100 milioni di utenti attivi al giorno, Roblox attrae innumerevoli bambini in tutto il mondo. Quasi la metà del suo pubblico ha meno di 13 anni e, in Australia, i giovani giocatori trascorrono in media 137 minuti al giorno nel mondo virtuale. Tuttavia, dietro l’immagine vibrante di avatar squadrati e milioni di giochi generati dagli utenti si nasconde una realtà inquietante, come rivelato da una giornalista del Guardian che ha deciso di immergersi in questo mondo per una settimana, fingendosi una bambina di otto anni.

L’esperimento è iniziato con la registrazione, che si è rivelata estremamente semplice: bastava un nome utente, la data di nascita e una casella di controllo che indicava che i miei genitori mi avevano dato il permesso di creare un account.

Non è stata richiesta alcuna verifica aggiuntiva. La prima tappa è stata Dress to Impress, uno dei giochi più popolari, che ha ricevuto oltre sei miliardi di visite dal suo lancio nel novembre 2023. Vogue ha persino riferito che gli appassionati di moda adulti si sono uniti al pubblico dei bambini e che il gioco stesso viene promosso come un marchio di moda.

Tuttavia, dietro la facciata del gioco di moda, emersero elementi inquietanti. Gli avatar assomigliano a bambole Barbie grigie con proporzioni innaturali e corpi avvolti in abiti succinti. Il gioco presenta una “stanza della carne” nel seminterrato che ricorda le viscere umane, stanze segrete che alludono a una donna scomparsa e uno degli aggiornamenti precedenti includeva un dungeon con una donna in gabbia. Un aggiornamento recente permetteva ai giocatori di colpire altri giocatori con pomodori o escrementi virtuali, in cambio di denaro reale.

Nel corso di una settimana, la bambina virtuale ha subito cyberbullismo, diffamazioni aggressive, molestie sessuali e insulti, il tutto con i controlli parentali attivati.

In un gioco, un altro utente si è seduto sul volto dell’avatar di un giornalista e ha iniziato a fare movimenti inappropriati, ignorando le richieste di fermarlo. In un altro, un gruppo di giocatori ha insultato il personaggio, definendolo una “ragazza brutta e sporca”. L’accesso a casinò, giochi horror, dungeon e innumerevoli giochi di ruolo con interazioni libere con sconosciuti è rimasto aperto all’account della bambina.

Il professor Marcus Carter dell’Università di Sydney paragona gli acquisti in-game sulla piattaforma al “gioco d’azzardo infantile“. Sottolinea la crescente tendenza delle funzionalità “pay to troll” che monetizzano il desiderio dei giocatori di molestare gli altri. Roblox, un’azienda da 92 miliardi di dollari, ricava almeno il 30% di tutte le transazioni sulla piattaforma, basando di fatto il suo business sui giochi creati dagli utenti, molti dei quali sono bambini. Carter definisce questo fenomeno come sfruttamento del lavoro minorile attraverso il gaming.

Particolarmente preoccupante è il fatto che molti giochi popolari siano gestiti da adolescenti. La creatrice di Dress to Impress, conosciuta come Gigi, afferma di aver iniziato a sviluppare il gioco a 14 anni e di averlo lanciato a 16.

L’anno scorso, ha ammesso di aver fatto battute inappropriate sulla violenza e di aver gestito un server di contenuti per adulti su Discord quando era minorenne. Uno degli amministratori del gioco, ventenne, è stato licenziato dopo essere stato accusato di aver adescato una sedicenne.

La piattaforma è stata a lungo accusata di essere pericolosa per i bambini. Diverse cause legali sono state intentate contro l’azienda negli Stati Uniti , descrivendo casi di minori adescati online e poi abusati. Il Procuratore Generale della Louisiana ha dichiarato che le falle di sicurezza di Roblox hanno creato un terreno fertile per pedofili e terroristi .

La Commissaria australiana per la sicurezza informatica, Julie Inman Grant, è in trattativa con l’azienda per nuove misure di sicurezza.

Roblox si è impegnata a rendere privati per impostazione predefinita gli account degli utenti di età inferiore ai 16 anni e a introdurre strumenti per impedire agli adulti di contattare i minori senza il consenso dei genitori entro la fine dell’anno. Un portavoce dell’azienda ha dichiarato l’impegno per la sicurezza e oltre 100 miglioramenti in questo ambito quest’anno. Tuttavia, Carter, la cui carriera professionale riguarda i videogiochi, ammette di non avere intenzione di permettere al figlio di quattro anni di giocare a Roblox.

L'articolo Roblox: la piattaforma che mette a rischio la sicurezza dei bambini proviene da Red Hot Cyber.

EN: The dynamics of #ruscist losses in the war against Ukraine since February 24, 2022
index.minfin.com.ua/en/russian…

personnel: about 1 153 180 (+1 020) persons
tanks: 11 342 (+0)
troop-carrying AFVs: 23 553 (+1)
artillery systems: 34 366 (+17)
MLRS: 1 539 (+1)
anti-aircraft systems: 1 239 (+0)
aircraft: 428 (+0)
helicopters: 347 (+0)
UAVs operational-tactical level: 79 642 (+217)
cruise missiles: 3 926 (+0)
warships/boats: 28 (+0)
submarines: 1 (+0)
vehicles and fuel tanks: 67 036 (+79)
special equipment: 3 993 (+0)

UA: Динаміка втрат рашистів у війні проти України з 24 лютого 2022 року
index.minfin.com.ua/ua/russian…

особового складу ‒ близько 1 153 180 (+1 020) осіб
танків ‒ 11 342 (+0)
бойових броньованих машин ‒ 23 553 (+1)
артилерійських систем – 34 366 (+17)
РСЗВ – 1 539 (+1)
засоби ППО ‒ 1 239 (+0)
літаків – 428 (+0)
гелікоптерів – 347 (+0)
БПЛА оперативно-тактичного рівня – 79 642 (+217)
крилаті ракети ‒ 3 926 (+0)
кораблі/катері ‒ 28 (+0)
підводні човни ‒ 1 (+0)
автомобільної техніки та автоцистерн – 67 036 (+79)
спеціальна техніка ‒ 3 993 (+0)

RU: Динамика потерь рашистов в войне против Украины с 24 февраля 2022 года
index.minfin.com.ua/russian-in…