Cache poisoning - zagrożenie dla Twojej strony

Cache poisoning (zatruwanie pamięci podręcznej) to atak, w którym napastnik wstrzykuje złośliwą treść do cache — CDN, przeglądarki albo pośredniczącego proxy — tak, że kolejni użytkownicy dostają zatrutą odpowiedź. Mechanizm polega na manipulacji kluczem cache, czyli sposobem, w jaki serwer cache identyfikuje zasób. Główne odmiany to zatruwanie cache webowego (manipulacja nagłówkami HTTP) i zatruwanie cache DNS. Konsekwencje bywają poważne: jeden zatruty wpis potrafi rozsiać atak XSS lub kradzież poświadczeń na wszystkich odwiedzających.

Przebieg ataku:

• napastnik znajduje odpowiedź trafiającą do cache, której klucz nie obejmuje wszystkich istotnych parametrów żądania,
• wysyła żądanie ze złośliwym nagłówkiem (np. X-Forwarded-Host), który zmienia treść odpowiedzi,
• jeśli cache zapamiętuje odpowiedź po samym adresie URL, ignorując nagłówek, zatruta wersja zostaje zapisana,
• kolejni użytkownicy proszący o ten sam adres dostają zatrutą odpowiedź.

Serie takich ataków na dużych serwisach udokumentował badacz James Kettle z PortSwigger; typowe wektory to wstrzyknięcia przez nagłówki Host i X-Forwarded-Host.

Warstwy obrony:

• uwzględniaj w kluczu cache wszystkie nagłówki, które wpływają na treść odpowiedzi (m.in. poprawny nagłówek Vary),
• rygorystycznie waliduj nagłówki i odrzucaj podejrzane wartości,
• wyłączaj cache dla treści osobistych — Cache-Control: no-store,
• stosuj reguły zapory aplikacyjnej (WAF) blokujące typowe wzorce ataku,
• testuj regularnie — Burp Suite ma rozszerzenie do wykrywania podatności na zatruwanie cache.

Zatruwanie cache DNS to atak na infrastrukturę nazw domenowych: napastnik wstrzykuje fałszywe rekordy do pamięci podręcznej resolvera, przez co użytkownik wpisujący prawidłowy adres trafia na serwer atakującego — stronę phishingową albo ze złośliwym oprogramowaniem. Głośnym przypadkiem była podatność Kaminsky'ego z 2008 roku, która ujawniła słabość samego protokołu DNS. Współczesne obrony to DNSSEC (kryptograficzne podpisy rekordów) oraz szyfrowane zapytania DNS-over-HTTPS i DNS-over-TLS. Dzięki nowoczesnej infrastrukturze ataki tego typu są dziś rzadsze, ale wciąż możliwe.

Kilka udokumentowanych:

• serwer pobrań Firefoksa — badacz wykazał, że manipulacja nagłówkiem Host mogła przekierować pobrania do złośliwych plików,
• Reddit — atak XSS przez zatrucie cache z użyciem nagłówka X-Forwarded-Host,
• podatności w serwerze Apache HTTP i błędne konfiguracje Nginxa umożliwiające zatrucie cache,
• okresowo odkrywane luki w konfiguracjach dużych sieci CDN.

Lekcja jest stała: regularne audyty bezpieczeństwa są niezbędne, a nowoczesne frameworki i CDN-y domyślnie konfigurują cache defensywnie — co warto weryfikować, nie zakładać.