Core: Authorization and Cookie headers leaked to cross-origin servers on HTTP redirect
評估
- 難度
- 3/5
- 預估耗時
- 1-2 天
- 新手友好度
- 72/100
- Issue 類型
- 缺陷
- 描述清晰度
- 描述清楚
- 活躍度
- 冷清
- 技術堆疊
- java
研究方向
從 HttpRequest.handleRedirect() 和 execute() 開始，接著檢查 issue 中描述的三個回歸情境。驗證 scheme、host 和 port 發生變更時的 same-origin 行為，包括預設 port 正規化；當 cross-origin 重新導向中不存在 Authorization 和 Cookie 標頭，而 same-origin 重新導向保留預期行為時，即表示完成。
由索引模型根據 Issue 內容生成。
描述
Environment details
- Core - HttpRequest in google-http-client
- OS type and version: Any
- Java version: Any (Java 8+)
- google-http-client version: reproducible on current main
Problem Statement
When HttpRequest follows a redirect to a different origin (different scheme, host, or port),
the Cookie header is not stripped. Additionally, Authorization headers set via interceptors
(e.g. BasicAuthentication) are re-applied by the interceptor on subsequent redirect
iterations regardless of destination origin. This can cause credentials to be silently
forwarded to attacker-controlled servers.
Steps to reproduce
- Build an HttpRequest with an Authorization interceptor (e.g. BasicAuthentication) and a
Cookie header. - Configure the transport to return a 302 redirect to a cross-origin URL (different host).
- Execute the request.
- Observe that the second request (to the cross-origin target) still includes Authorization
and Cookie headers.
Proposed Fix
In handleRedirect(), compute whether the new URL is same-origin as the old URL (comparing
scheme, host, and effective port). Strip Cookie header if cross-origin. In execute(), before
each retry, compare current URL origin to original origin and strip Authorization and Cookie
if the URL has changed to a different origin (e.g. after a previous redirect).
Add getEffectivePort() and isSameOrigin() helpers to normalize default ports (80 for http,
443 for https).
Three regression tests are included in the accompanying PR covering same-origin,
cross-origin host change, scheme change, and port change scenarios.
- 主要語言
- Java
- 星號
- 1.4k
- 分支
- 476
- 平均合併
- 10 小時 47 分鐘
- 30 天內合併 PR
- 3
環境準備
- 沒有 Dockerfile 或 Docker Compose 檔案
- 有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
googleapis/google-http-java-client 的其他 Issue
-
Core: Validate header names and values to prevent CRLF injection可能已有人在做 @insaf021 於 106 天前認領。 未關閉priority: p3
難度 2/5 1-3 小時 新手友好度 78/100
-
Core: XmlPullParser processes external DTD entities (XXE) — disable FEATURE_PROCESS_DOCDECL in Xml#createParser()可能已有人在做 @insaf021 於 106 天前認領。 未關閉priority: p3
難度 2/5 1-3 小時 新手友好度 84/100
-
Core: LowLevelHttpResponse not disconnected when HttpResponse construction throws RuntimeException可能已有人在做 @insaf021 於 107 天前認領。 未關閉priority: p3
難度 2/5 1-3 小時 新手友好度 84/100
-
type: cleanup
難度 2/5 1-3 小時 新手友好度 68/100
-
org.apache.http.conn.ssl.SSLSocketFactory is deprecated可能重新可做 關聯的 PR 已關閉且未合併。 未關閉priority: p2 type: cleanup
難度 2/5 1-3 小時 新手友好度 65/100
查看 googleapis/google-http-java-client 的全部 Issue
相似的 Issue
-
難度 2/5 1-3 小時 新手友好度 80/100
finos/fluxnova-bpm-platform#387 ·
維護者通常 4 天內回覆
-
難度 1/5 1 小時以內 新手友好度 88/100
-
難度 2/5 1 小時以內 新手友好度 84/100
cpp-best-practices/project_validator#251 ·
維護者通常 1 天內回覆
-
backend enhancement
難度 2/5 半天 新手友好度 70/100
damodharg6/payledger#16 ·
-
[Bug]: An initiative list with no current entry logs an error on every change可能已有人在做 @dwizard0 今天認領。 未關閉
難度 2/5 1-3 小時 新手友好度 75/100
維護者通常 1 天內回覆