Attaque HTTP Desync

Popularisées par la recherche de James Kettle en 2019 « HTTP Desync Attacks », ces attaques mettent délibérément un proxy frontal en désaccord avec le back-end sur l'analyse du flux de requêtes. Techniques utilisées : CL.TE, TE.CL, TE.TE, downgrade HTTP/2 vers HTTP/1.1, astuces de chunked encoding. Une fois la connexion désynchronisée, des octets contrôlés par l'attaquant se préfixent à la requête de la victime suivante : vol d'identifiants, accès à des endpoints internes, empoisonnement de file de réponses, contournement d'authentification ou de WAF. Défenses : utiliser HTTP/2 de bout en bout, valider strictement les en-têtes, rejeter les requêtes contenant à la fois Content-Length et Transfer-Encoding, supprimer les ambiguïtés à la périphérie, tests continus avec des outils comme HTTP Request Smuggler.