async-h1 is an asynchronous HTTP/1.1 parser for Rust (crates.io). There is a request smuggling vulnerability in async-h1 before version 2.3.0. This vulnerability affects any webserver that uses async-h1 behind a reverse proxy, including all such Tide applications. If the server does not read the body of a request which is longer than some buffer length, async-h1 will attempt to read a subsequent request from the body content starting at that offset into the body. One way to exploit this vulnerability would be for an adversary to craft a request such that the body contains a request that would not be noticed by a reverse proxy, allowing it to forge forwarded/x-forwarded headers. If an application trusted the authenticity of these headers, it could be misled by the smuggled request. Another potential concern with this vulnerability is that if a reverse proxy is sending multiple http clients' requests along the same keep-alive connection, it would be possible for the smuggled request to specify a long content and capture another user's request in its body. This content could be captured in a post request to an endpoint that allows the content to be subsequently retrieved by the adversary. This has been addressed in async-h1 2.3.0 and previous versions have been yanked.
async-h1 es un analizador HTTP/1.1 asincrónico para Rust (crates.io). Se presenta una vulnerabilidad de tráfico no autorizado de peticiones en async-h1 anterior a la versión 2.3.0. Esta vulnerabilidad afecta a cualquier servidor web que use async-h1 detrás de un proxy inverso, incluyendo todas estas aplicaciones de Tide. Si el servidor no lee el cuerpo de una petición que es más larga que una longitud de búfer, async-h1 intentará leer una petición posterior del contenido del cuerpo comenzando en ese desplazamiento en el cuerpo. Una forma de explotar esta vulnerabilidad sería que un adversario diseñe una petición de modo que el cuerpo contenga una petición que no sería detectada por un proxy inverso, lo que le permitirá falsificar encabezados forwarded/x-forwarded. Si una aplicación confiaba en la autenticidad de estos encabezados, podría ser engañada por la petición de tráfico no autorizado. Otra posible preocupación con esta vulnerabilidad es que si un proxy inverso envía múltiples peticiones de clientes http a lo largo de la misma conexión keep-alive, sería posible que la petición de tráfico no autorizado especifique un contenido largo y capture la petición de otro usuario en su cuerpo. Este contenido podría ser capturado en una petición post hacia un endpoint que permita que el contenido posteriormente sea recuperado por el adversario. Esto se ha abordado en async-h1 2.3.0 y se han eliminado las versiones anteriores
