HTTP Terminator fant nye desync-teknikker etter 30 000 kandidatvektorer

«Ingen av oss ville funnet den alene.» Slik beskriver James Kettle, forskningsdirektør i PortSwigger, hvordan angrepskonseptet Shared-Parser Confusion ble til: det KI-assisterte systemet hans foreslo det, og han validerte og generaliserte det selv. PortSwigger sier HTTP Terminator, som Kettle har bygget, genererte og beviste flere nye HTTP-desynkroniseringsteknikker på egen hånd.

Kettle matet systemet 138 HTTP- og SMTP-RFC-er, som ble delt i rundt 15 000 små fragmenter og brukt som inspirasjon til 30 000 unike kandidatvektorer. Testingen gikk mot 30 000 nettsteder der skanning var autorisert gjennom bug bounty- eller sårbarhetsprogrammer, og fant rundt 700 sårbare mål før dypere validering. Én teknikk bygget på Content-Type: multipart/byteranges virket på tvers av flere serverimplementasjoner og eksponerte over 200 nettsteder i testsettet, blant dem en unavngitt amerikansk bank.

Av 16 idéer for å gjøre response queue poisoning mer pålitelig overlevde bare én. Dangling-byte-teknikken lar en smuglet forespørsel mangle nøyaktig ett byte, slik at det andre bakenforliggende svaret ikke produseres før en offerforespørsel leverer bytet som mangler. Det fjerner kappløpet som ellers gjør angrepet upålitelig, og angrepet kan få frontenden til å levere en annen brukers svar, inkludert sesjonsinformasjonskapsler og API-nøkler.

Apache-funnet har et hull i dokumentasjonen. Forskerne sier null-dagshullet i Apache Traffic Server er patchet og spores som CVE-2026-63078, men The Hacker News fant 7. august ingen offentlig oppføring for identifikatoren i verken CVE.org eller NVD, og Apaches juli-varsel med 34 feil listet den ikke. Du kan altså ikke koble identifikatoren til en konkret fikset versjon ennå.

For deg som bygger med agenter er implementasjonen like interessant som funnene. HTTP Terminator er lagt ut med åpen kildekode, bruker Claude til dokumentekstraksjon og generering av testtilfeller, og etterforskersteget krever Claude Code. Kettle testet også nyere modeller på en gjenoppdagelses-benchmark og rapporterte 30 prosent treff for GPT-5.6 Sol når den fikk en inspirasjonsteknikk å gå ut fra.

Hva bør du gjøre?

1. Unngå HTTP/1.1 mot bakenforliggende tjenester. Det er fortsatt PortSwiggers hovedanbefaling, og den er uendret av disse funnene.
2. Må du beholde HTTP/1.1, sett opp tillatelsesliste for metoder i begge lag og begrens hvilke metoder som får bære en forespørselskropp.
3. Følg Apache Traffic Server-varslene til CVE-2026-63078 får en offentlig oppføring med fikset versjon.