Vulnerabilidad en Trillium (CVE-2024-23644)

Trillium es un conjunto de herramientas componibles para crear aplicaciones de Internet con óxido asíncrono. En `trillium-http` anterior a 0.3.12 y `trillium-client` anterior a 0.5.4, la validación insuficiente de los valores de encabezado salientes puede llevar a ataques de división de solicitudes o de división de respuestas en escenarios donde los atacantes tienen suficiente control sobre los encabezados. Esto solo afecta a los casos de uso en los que los atacantes tienen control de los encabezados de las solicitudes y pueden insertar secuencias "\r\n". Específicamente, si se inserta entrada que no es de confianza y no validada en nombres o valores de encabezado. Los `trillium_http::HeaderValue` y `trillium_http::HeaderName` salientes se pueden construir de manera infalible y no se verificaron en busca de bytes ilegales al enviar solicitudes del cliente o respuestas del servidor. Por lo tanto, si un atacante tiene suficiente control sobre los valores de encabezado (o nombres) en una solicitud o respuesta como para poder inyectar secuencias `\r\n`, podría desincronizar el cliente y el servidor y luego girar para obtener control sobre otras partes de solicitudes o respuestas. (es decir, filtrar datos de otras solicitudes, SSRF, etc.) En las versiones 0.3.12 y posteriores de `trillium-http`, si un nombre de encabezado no es válido en los encabezados de respuesta del servidor, el encabezado específico y cualquier valor asociado se omiten de la transmisión de red. Además, si un valor de encabezado no es válido en los encabezados de respuesta del servidor, el valor del encabezado individual se omite de la transmisión de la red. Se seguirán enviando otros valores de encabezado con el mismo nombre de encabezado. En las versiones 0.5.4 y posteriores de `trillium-client`, si algún nombre o valor de encabezado no es válido en los encabezados de solicitud del cliente, en espera, el cliente Conn devuelve un `Error::MalformedHeader` antes de cualquier acceso a la red. Como workaround, los servicios de Trillium y las aplicaciones cliente deben desinfectar o validar las entradas que no son de confianza incluidas en los valores y nombres de los encabezados. No se permiten caracteres de carriage return, nueva línea, ni nulos.