Cloudflare Pingora: Durchreichen von Hop-by-hop-Headern ermöglicht Umgehung der Zugriffskontrolle

Zusammenfassung

Pingora-proxy leitete vom Client benannte Connection-Header an HTTP/1-Upstreams weiter, sodass ein Client Header benennen konnte, die Pingora selbst hinzufügt, etwa X-Forwarded-For. Ein nachgelagerter HTTP/1-Intermediär, der Connection berücksichtigt, konnte diese Header entfernen. Ein nicht authentifizierter Angreifer aus dem Netz kann dadurch diese Header entfernen und möglicherweise eine IP-basierte Autorisierung auf dem Origin-Server umgehen. Das Problem betrifft nur verkettete Deployments, in denen ein solcher Intermediär zwischen Pingora und einem Origin-Server steht, der die hinzugefügten Header vertraut.

Betroffen

• Cloudflare Pingora Versionen 0.1.0 bis vor 0.9.0
• Standardkonfiguration ist nicht betroffen
• Voraussetzung ist ein verkettetes Deployment mit einem HTTP/1-Intermediär, der Connection-Nennungen berücksichtigt, und einem Origin-Server, der von Pingora hinzugefügten Headern vertraut

Behoben in

• Auf pingora 0.9.0 oder neuer aktualisieren

Umgehung

• Falls ein Update nicht möglich ist, in upstream_request_filter den Connection-Header und alle von ihm genannten Header entfernen, bevor vertrauenswürdige Header hinzugefügt werden
• HttpUpstreamRequestPolicy::preserve() nicht verwenden, falls der Origin-Server auf von Pingora hinzugefügte Header angewiesen ist

Ausnutzung

• Keine Ausnutzung bestätigt.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• Laut The Hacker Wire existiert kein öffentlicher Proof of Concept.

Unsere Empfehlung

• Rust-Dienste identifizieren, die von pingora-proxy abhängen (z. B. mit cargo tree -i pingora-proxy).
• Betroffene Dienste auf pingora 0.9.0 oder neuer aktualisieren, inklusive der zugehörigen HTTP/2-Korrekturen im selben Release.
• Origin-seitige Logik prüfen, die X-Forwarded-For oder ähnliche Header zur Zugriffskontrolle verwendet.
• Aus dem Internet erreichbare Pingora-Gateways mit IP-basierten Origin-Prüfungen priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Pingora 0.9.0 release notes github.com
• Pingora CHANGELOG github.com
• Pingora GitHub repository github.com
• OSV record via Vulners vulners.com
• OpenCVE CVE-2026-105299 app.opencve.io
• VulDB CVE-2026-105299 vuldb.com
• Strix CVE record www.strix.ai
• The Hacker Wire www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:35.