PortSwigger afirma que HTTP Terminator, un sistema de investigación asistido
por inteligencia artificial (IA) desarrollado por
James Kettle, generó y demostró nuevas técnicas de desincronización HTTP
tras explorar 30.000 vectores de desincronización potenciales.
PortSwigger indicó que una cascada de descubrimiento independiente, guiada por
humanos, también reveló una vulnerabilidad de día cero en Apache Traffic
Server. Kettle explicó que HTTP Terminator analizó 30.000 sitios web con
autorización para el escaneo mediante programas de recompensas por detección
de errores o divulgación de vulnerabilidades, y encontró aproximadamente 700
objetivos vulnerables antes de una validación más exhaustiva y una
investigación sobre RQP.
Kettle señaló que estos hallazgos afectaron a bancos, infraestructura
gubernamental, productos de seguridad y un aeropuerto.
La investigación produjo nuevos desencadenantes de desincronización, un patrón
de coincidencia doble de longitud de contenido y una técnica de «byte
colgante» diseñada para aumentar la fiabilidad del envenenamiento de la cola
de respuesta (RQP). El RQP puede provocar que un front-end pierda el rastro de
qué respuesta del back-end pertenece a cada usuario, exponiendo potencialmente
la respuesta de otro usuario, incluyendo cookies de sesión o claves API.
Los investigadores también revelaron la Confusión de Analizador Compartido, un
concepto de ataque más amplio propuesto por el sistema y validado por Kettle.
La defensa no ha cambiado:
PortSwigger recomienda evitar HTTP/1.1 en la capa de origen. Cuando no
se puede eliminar HTTP/1.1, recomienda permitir los métodos en ambas capas y
restringir qué métodos pueden transportar cuerpos de solicitud.
En el
informe técnico, Kettle indicó que alimentó HTTP Terminator con 138 RFC de HTTP y SMTP.
Estos RFC se dividieron en aproximadamente 15.000 fragmentos pequeños y se
utilizaron como inspiración para generar 30.000 vectores candidatos únicos.
Una técnica de Content-Type: multipart/byteranges funcionó en múltiples
implementaciones de servidor y expuso más de 200 sitios web en el conjunto de
prueba, incluyendo un banco estadounidense sin nombre.
La investigación autónoma probó 16 ideas para mejorar RQP. Solo la técnica del
byte colgante superó la evaluación. Esto provoca que una solicitud mal formada
quede incompleta con un byte menos, impidiendo que la segunda respuesta del
servidor se genere hasta que una solicitud de la víctima proporcione el
byte faltante. Esto elimina una condición de carrera que, de otro modo,
haría que RQP no fuera confiable en muchos sitios.
En la cascada guiada por humanos, una solicitud mal formada expuso finalmente
la desincronización de día cero en Apache Traffic Server. Los investigadores
indicaron que el problema ya se ha corregido y se le ha dado seguimiento como
CVE-2026-63078.
Una verificación realizada el 7 de agosto aún no encontró ningún registro
público de CVE-2026-63078 en CVE.org ni en NVD, y el aviso de Apache de julio,
que
abarcaba 34 vulnerabilidades, no lo incluyó. Esto deja una laguna en la verificación del caso Apache: los
registros públicos citados aún no permiten a los expertos en seguridad
vincular CVE-2026-63078 con una versión específica corregida de Traffic
Server.
Kettle explicó que la vulnerabilidad Shared-Parser Confusion surgió cuando
HTTP Terminator detectó que las reglas de procesamiento de respuestas podían
aplicarse incorrectamente a las solicitudes cuando los servidores reutilizaban
la lógica de análisis. El sistema propuso el concepto, pero Kettle, director
de investigación de PortSwigger, lo validó y generalizó.
«Ninguno de los dos lo habría descubierto por sí solo», afirmó.
Esta distinción define el límite de autonomía en esta investigación: el
sistema generó y proporcionó varias técnicas sin intervención humana directa,
mientras que la vulnerabilidad de día cero de Apache y Shared-Parser Confusion
aún requirieron la intervención de Kettle.
PortSwigger
ha publicado HTTP Terminator
como código abierto. El artículo no especifica qué modelo o versión generó
cada descubrimiento autónomo. La implementación publicada utiliza Claude para
la extracción de documentos y la generación de casos de prueba, mientras que
su fase de investigación requiere Claude Code.
Por otro lado, los investigadores responsables de los ataques de
desincronización basados en CRLF publicaron herramientas para estudiar este
tipo de ataque, incluyendo
crlf-desyncs
y
crlf-powered-desync-scanner.
Kettle probó por separado modelos más recientes en una prueba de
redescubrimiento y reportó una tasa de éxito del 30% para GPT-5.6 Sol cuando
se le proporcionó una técnica de inspiración.
Fuente: THN