PortSwigger, yapay zeka destekli bir araştırma sistemi olan HTTP Terminator'un yeni HTTP desync teknikleri ve Apache zero-day bulduğunu açıkladı. Sistem, 30.000 aday saldırı vektörü oluşturdu ve 700'den fazla savunmasız hedef buldu.
HTTP Terminator, James Kettle tarafından geliştirilen bir yapay zeka destekli araştırma sistemidir. Sistem, 30.000 web sitesini tarayarak savunmasız hedefleri belirledi ve daha derin bir doğrulama ve RQP araştırması yaptı.
Araştırma, bankalar, hükümet altyapısı, güvenlik ürünleri ve bir havalimanı dahil olmak üzere çeşitli sektörlerde savunmasız hedefler buldu.
HTTP Terminator, desync tetikleyicileri, çift eşleşme İçerik-Uzunluğu kalıbı ve bir response kuyruğunu zehirlenmesini daha güvenilir hale getirmek için tasarlanmış bir 'dangling-byte' tekniği gibi yeni desync teknikleri üretti.
Araştırmacılar ayrıca, sistem tarafından önerilen ancak Kettle tarafından doğrulanan daha geniş bir saldırı kavramı olan Shared-Parser Confusion'u ifşa ettiler. Savunma vẫn aynı kaldı: PortSwigger, HTTP/1.1 upstream'unun tránh edilmesini öneriyor. HTTP/1.1 kaldırılamıyorsa, her iki katmanda da yöntemleri allow-listelemeyi ve hangi yöntemlerin istek gövdeleri taşıyabileceğini kısıtlamayı öneriyor.
