El artículo técnico analiza una vulnerabilidad de seguridad crítica en los frameworks web que confían sin verificación en el encabezado HTTP Forwarded. Aunque el estándar RFC 7239 define este campo para unificar las cabeceras no estándar X-Forwarded-, muchos servidores y aplicaciones (como Rails, Spring y Jetty) lo leen como fuente de verdad para la dirección IP del cliente y el nombre de host original. Esta práctica permite a los atacantes suplantar la identidad del usuario mediante el spoofing de cabeceras, evadiendo restricciones de IP, límites de tasa y mecanismos de autenticación. El texto detalla cómo los proxies inversos, como Envoy, pueden pasar estas cabeceras no verificadas si no están configurados para descartarlas, y cómo los frameworks priorizan Forwarded sobre X-Forwarded-, creando un vector de ataque explotable. Se recomienda a los administradores de sistemas que los proxies y las aplicaciones coincidan en la lista de proxies de confianza y que los proxies descarten cualquier cabecera no confiable por defecto, eliminando así el riesgo de suplantación de identidad en la red web.
Noticias agregadas con IA