CyberGlossary

Schwachstellen

Host-Header-Injection

Auch bekannt als: X-Forwarded-Host-Injection, Virtual-Host-Missbrauch

Definition

Schwachstelle, bei der eine Anwendung dem HTTP-Host-Header (oder X-Forwarded-Host) zur URL-Bildung vertraut, sodass Angreifer Nutzer umleiten oder Caches vergiften können.

Host-Header-Injection liegt vor, wenn Serverlogik den Host-Header — oder Proxy-Varianten wie X-Forwarded-Host — verwendet, um absolute URLs zu bauen (Passwort-Reset-Links, Redirects, Image-src, Canonicals, OAuth-Callbacks), ohne ihn gegen eine Allow-Liste zu prüfen. Angreifer manipulieren den Header, leiten Links auf eine bösartige Domain um und verursachen Password-Reset-Poisoning, Cache-Vergiftung, SSRF oder Routing der Antwort an einen Angreifer-Host. Die Schwäche ist in Reverse-Proxy-Setups und Frameworks mit mehreren Host-Quellen verbreitet. Schutz: URLs aus einem konfigurierten Trusted Host ableiten, Host/X-Forwarded-Host gegen Allow-Liste prüfen, unbekannte Forwarded-Header am Edge verwerfen, HSTS einsetzen.

Beispiele

  • Auslösen eines Passwort-Resets, der einen Link auf https://attacker.com/reset?token=... mailt, weil die App Host nutzt.
  • CDN-Cache vergiften durch X-Forwarded-Host, sodass /index Angreifer-URLs ausgibt.

Verwandte Begriffe