Три уязвимости в прокси-сервере Pingora от Cloudflare

В написанной на Rust инфраструктуре проксирования Pingora от Cloudflare опубликованы три бюллетеня, затрагивающие HTTP/2-обработку.

Расхождение Host и :authority

Версии до 0.9.0 принимали HTTP/2-запросы, где заголовок Host расходится с псевдозаголовком :authority. Фильтры запросов, ключи кэша и журналы видели :authority, а апстрим получал Host — это позволяет отравлять кэш и обходить контроль доступа по хосту.

Исчерпание памяти

Версии до 0.8.1 использовали лимиты HTTP/2-сервера по умолчанию из крейта h2: 16 МиБ декодированного списка заголовков и отсутствие предела на одновременные потоки. Неаутентифицированный клиент мог отправлять одно байтовые HPACK-ссылки почти в пустой список, раздувая память.

Заголовок Connection в цепочках

Версии до 0.9.0 пропускали клиентский заголовок Connection и номинированные им hop-by-hop заголовки к апстриму по HTTP/1 вопреки RFC 9110, что в цепочках прокси позволяет обходить списки контроля доступа.

Оригинал

RUSTSEC-2026-0388, RUSTSEC-2026-0389, RUSTSEC-2026-0390