HTTP/1.1-fejl efterlader 24 millioner websites udsatte

En kritisk HTTP/1.1-sårbarhed truer over 24 millioner websites og gør det muligt for angribere at overtage konti, stjæle følsomme data og indsætte ondsindet kode. Sårbarheden gemmer sig i backend-systemer, der stadig bruger HTTP/1.1, selv når front-end-tjenester fremstår moderne og sikre.

Sådan fungerer sårbarheden

HTTP/1.1 indeholder uklare grænser for forespørgsler, som angribere udnytter i “request smuggling”- eller “desync”-angreb. Disse angreb gør det muligt for ondsindede payloads at omgå sikkerhedslagene. Selv websites, der bruger content delivery-netværk eller omvendte proxyer, som Cloudflare eller Akamai, kan blive ramt, hvis upstream-servere som standard kører HTTP/1.1.

Når sårbarheden udnyttes, kan angribere manipulere brugersessioner, indsætte skadelige scripts og forgifte cachelagre. Dette kan føre til stjålne adgangskoder, eksponerede kreditkortoplysninger eller tilfældige login på andre brugeres konti.

Forskningsresultater

Sårbarheden blev fremhævet af sikkerhedsforskeren James Kettle fra PortSwigger under oplæg på Black Hat og DEF CON. Hans arbejde afslørede, at mange infrastrukturer ubevidst vender tilbage til HTTP/1.1 i baggrunden. Kettles resultater indbragte betydelige bug bounty-belønninger og øgede presset for at udfase HTTP/1.1 til fordel for HTTP/2.

Indvirkning på den globale websikkerhed

Med millioner af websites eksponeret omfatter risikoen både store platforme og mindre virksomheder. Angribere kan kompromittere konti, stjæle kundedata og indsætte malware i legitim webtrafik. Den udbredte afhængighed af forældede protokoller gør internettet sårbart over for masseudnyttelse.

Anbefalede tiltag

Eksperter anbefaler at bruge HTTP/2 til alle upstream-forbindelser for at fjerne risikoen for nedgradering af protokollen. Streng validering af forespørgsler bør indføres for at opdage smuggling-angreb. Deaktivering af genbrug af forespørgsler kan yderligere begrænse angrebsfladen. Administratorer kan også bruge det åbne værktøj HTTP Request Smuggler v3.0 til at teste systemerne for sårbarheder.

Konklusion

HTTP/1.1-sårbarheden er en skjult trussel, der rammer millioner af websites verden over. Uden proaktive opgraderinger og grundige sikkerhedstest kan angribere udnytte svagheden til omfattende kontoovertagelser og datatyveri. Overgang til HTTP/2 og streng validering giver den mest effektive beskyttelse.