VSV00019 no Varnish Cache: como detectar, corrigir e mitigar request smuggling por HTTP/2 no Fedora

 

Proteja seu servidor Varnish no Fedora 44! Guia completo sobre a vulnerabilidade VSV00019 (request smuggling), com comandos de verificação, script de correção automática e mitigação para quem não pode atualizar agora. Proteja seu cache!

A vulnerabilidade VSV00019 (CVE-2025-8671) no Varnish Cache permite ataques de request smuggling por HTTP/2, que podem resultar em envenenamento de cache, bypass de autenticação e roubo de dados. 

Com a atualização do Fedora 44, é crucial aplicar a correção ou mitigar o risco para proteger seus servidores.

Contexto da Vulnerabilidade VSV00019

Em maio de 2026, foi descoberta a vulnerabilidade VSV00019 (CVE-2025-8671), uma falha no parser HTTP/2 do Varnish Cache. 

A falha permite que um atacante execute um ataque de request smuggling, onde uma requisição maliciosa é "contrabandeada" e interpretada de forma incorreta pelo servidor.

As consequências são graves: o invasor pode envenenar o cache da sua aplicação, exibir conteúdo malicioso para usuários legítimos, ou até mesmo contornar mecanismos de autenticação para acessar áreas restritas. 

A vulnerabilidade afeta o Varnish Cache desde as versões 7.6.0 até a 8.0.1, e a versão 6.0.14 até a 6.0.17, mas foi corrigida na versão 8.0.2 e superiores.

Como Verificar se Você Está Vulnerável no Fedora

Siga os passos abaixo para verificar a versão do seu Varnish e se o HTTP/2 está habilitado.

1. Verifique a versão do Varnish:

bash

varnishd -V

Se a versão for 8.0.1 ou inferior, seu sistema está vulnerável.

2. Verifique se o HTTP/2 está habilitado: 

A vulnerabilidade só é explorável se o HTTP/2 estiver ativo. Para verificar:

bash

varnishadm param.show feature

Se a saída conter +http2, o HTTP/2 está ativado e você está em risco

3. Verifique se a atualização de segurança está disponível:

1. bash

   dnf check-update | grep -E "varnish|vmod-uuid"
   
   

Script de Automação para Aplicar a Correção

Para administradores de sistemas, um script automatizado é a maneira mais eficiente de aplicar a correção em múltiplos servidores. Salve o conteúdo abaixo como fix_vsv00019.sh e execute com sudo bash fix_vsv00019.sh.

bash

#!/bin/bash
# Script de correção para VSV00019 (HTTP/2 request smuggling) no Fedora 44
# Compatível com Fedora Linux

set -e

LOG_FILE="/var/log/fix_vsv00019.log"

echo "=== Iniciando correção para VSV00019 em $(date) ===" | tee -a $LOG_FILE

# 1. Atualizar pacotes vulneráveis
echo "INFO: Atualizando varnish e vmod-uuid..." | tee -a $LOG_FILE
dnf update -y varnish varnish-modules vmod-uuid | tee -a $LOG_FILE

# 2. Verificar se a atualização foi bem-sucedida
NEW_VERSION=$(varnishd -V 2>&1 | grep -oP 'varnish-\K[0-9.]+')
echo "INFO: Versão do Varnish instalada: $NEW_VERSION" | tee -a $LOG_FILE

# 3. Reiniciar o serviço
echo "INFO: Reiniciando o serviço varnish..." | tee -a $LOG_FILE
systemctl restart varnish

# 4. Verificar status
if systemctl is-active --quiet varnish; then
    echo "SUCESSO: Varnish reiniciado com sucesso!" | tee -a $LOG_FILE
else
    echo "ERRO: Falha ao reiniciar o Varnish. Verifique os logs." | tee -a $LOG_FILE
    exit 1
fi

# 5. Desabilitar HTTP/2 (redundância de segurança)
echo "INFO: Garantindo que HTTP/2 esteja desabilitado..." | tee -a $LOG_FILE
varnishadm param.set feature -http2 2>/dev/null || echo "AVISO: Não foi possível desabilitar HTTP/2 via CLI."

echo "=== Correção concluída em $(date) ===" | tee -a $LOG_FILE

Como usar:

1, Salve o script como fix_vsv00019.sh.

2. Dê permissão de execução: chmod +x fix_vsv00019.sh.

3. Execute como root: sudo ./fix_vsv00019.sh.

📗  Leitura Recomendada

Para administradores de sistemas que buscam dominar a segurança de servidores web e proxies, o livro "HTTP/2 in Action" é uma leitura essencial. 

Ele oferece um mergulho profundo no protocolo HTTP/2, suas vulnerabilidades (como request smuggling) e as melhores práticas para implementá-lo de forma segura em suas aplicações.

Compreender os mecanismos internos do HTTP/2 permite que você não só mitigue falhas específicas, mas também proteja sua infraestrutura contra ameaças futuras. Invista no seu conhecimento e na segurança do seu negócio.

 HTTP/2 in Acton   -> https://amzn.to/4e9xEzG

Eu ganho uma comissão quando você faz uma compra.

Mitigação Alternativa (Se Não Puder Atualizar Agora)

Se por algum motivo você não puder atualizar o Varnish imediatamente, existem algumas alternativas para reduzir o risco.

1. Desabilitar HTTP/2 na linha de comando

A maneira mais segura de mitigar a vulnerabilidade sem atualizar é desabilitar completamente o suporte a HTTP/2 no Varnish.

Remova o parâmetro de inicialização: Edite o arquivo de serviço do Varnish (geralmente em /etc/varnish/varnish.params) e remova qualquer ocorrência de -p feature=+http2.

Recarregue a configuração: systemctl daemon-reload e systemctl restart varnish.

Configure seu TLS terminator (ex: HAProxy): Se você usa um terminador TLS (como HAProxy, Nginx, ou Apache) para lidar com HTTPS, altere sua configuração para remover o protocolo h2 do ALPN. No HAProxy, por exemplo, mude alpn h2,http/1.1 para alpn http/1.1.

2. Aplicar filtro de cabeçalho via VCL

Esta é uma mitigação paliativa que tenta bloquear as requisições maliciosas diretamente no VCL. O código abaixo deve ser adicionado ao início do seu arquivo VCL principal:

vcl

sub vcl_recv {
    # Filtra cabeçalhos inválidos (tentativa de mitigação para VSV00019)
    if (req.proto == "HTTP/2.0") {
        # Remove cabeçalhos problemáticos
        unset req.http.transfer-encoding;
        unset req.http.content-length;

        # Adiciona um cabeçalho de controle
        set req.http.VSV19-Mitigation = "active";
    }
}

sub vcl_backend_fetch {
    # Força o fechamento da conexão para requisições suspeitas
    if (bereq.http.VSV19-Mitigation == "active") {
        set bereq.http.Connection = "close";
    }
}

Nota: Esta solução não é infalível. A atualização completa para a versão segura é sempre a recomendação principal

Aprofunde Seus Conhecimentos em Segurança

Para administradores de sistemas que buscam dominar a segurança de servidores web e proxies, o livro "HTTP/2 in Action" é uma leitura essencial. 

Ele oferece um mergulho profundo no protocolo HTTP/2, suas vulnerabilidades (como request smuggling) e as melhores práticas para implementá-lo de forma segura em suas aplicações.

Compreender os mecanismos internos do HTTP/2 permite que você não só mitigue falhas específicas, mas também proteja sua infraestrutura contra ameaças futuras. Invista no seu conhecimento e na segurança do seu negócio.

Conclusão

A vulnerabilidade VSV00019 é um sério lembrete de como a configuração correta de protocolos modernos como HTTP/2 pode impactar a segurança da sua infraestrutura. 

A melhor forma de se proteger é manter seus sistemas atualizados. Utilize o script de correção fornecido ou, se a atualização não for possível, adote imediatamente as medidas de mitigação descritas. 

Revise periodicamente as configurações do seu Varnish e mantenha-se informado sobre as últimas ameaças para garantir a integridade do seu cache e a segurança dos seus dados.