PHP 8: HTTP-Wrapper Schwachstellen erlauben HTTP Request Smuggling
Table of Contents
PHP ist aktuell von zwei moderaten Schwachstellen betroffen, die die Verarbeitung von HTTP-Headern und Redirect-URIs in den internen Stream-Wrappern beeinträchtigen. Beide Probleme wurden in Versionen vor 8.1.32, 8.2.28, 8.3.18 und 8.4.5 festgestellt und in den folgenden Versionen behoben.
CVE-2025-1734: UngĂĽltige Header-Namen werden nicht abgefangen
Betroffene Versionen:
- PHP < 8.1.32
- PHP < 8.2.28
- PHP < 8.3.18
- PHP < 8.4.5
Bei der Nutzung des HTTP-Stream-Wrappers werden Header, die keinen Doppelpunkt enthalten – oder solche, bei denen ein Leerzeichen vor dem Doppelpunkt steht – fälschlicherweise als gültig interpretiert und in das Array $http_response_header aufgenommen.
Beispiel:
printf "HTTP/1.0 200 Ok\r\nContent-Type: text/html\r\nWrong-Header\r\nGood-Header: test\r\n\r\nbody\r\n" | nc -l 0.0.0.0 8000
liefert ein Array mit:
- “HTTP/1.0 200 Ok”
- “Content-Type: text/html”
- “Wrong-Header”
- “Good-Header: test”
Die fehlerhafte Verarbeitung dieser Header kann dazu führen, dass Anwendungen sie entweder als valide Header oder als Fortsetzung des vorangegangenen Headers interpretieren. Dies kann in bestimmten Szenarien zu Request Smuggling führen, da unsauber geparste Header fälschlicherweise als Teil der Anfrage interpretiert werden.
Workaround:
Entwickler können das Array $http_response_header speziell validieren und ungültige Header manuell herausfiltern. Eine Benachrichtigung über diese Header erfolgt jedoch nicht automatisch.
CVE-2025-1861: URI-Trunkierung bei Redirect-Location auf 1024 Bytes
Betroffene Versionen:
- PHP < 8.1.32
- PHP < 8.2.28
- PHP < 8.3.18
- PHP < 8.4.5
Der HTTP-Wrapper in PHP begrenzt derzeit die Länge des Werts für die Redirect-Location-Header auf 1024 Bytes, da der interne Puffer entsprechend limitiert ist. Laut RFC 9110 wird jedoch ein Limit von 8000 Bytes empfohlen, während Browser typischerweise bis zu 2048 Bytes unterstützen.
Diese zu niedrige Begrenzung kann dazu führen, dass wichtige Informationen in der Umleitungs-URL – etwa aus der Query-String – abgeschnitten werden. In manchen Fällen kann dies zu einer falschen Umleitung oder sogar zu einem Denial-of-Service führen, wenn der gekürzte URI einen Fehler provoziert.