Прокси-сервер LLM Headroom позволяет клиенту выбирать восходящий пункт назначения с помощью заголовка запроса x-headroom-base-url. _resolve_openai_upstream_base в headroom/proxy/handlers/openai.py принимает значение заголовка, требует только его анализа со схемой http или https и именем хоста и возвращает его для использования в качестве исходной базы; _select_passthrough_base_url в headroom/providers/proxy_routes.py считывает один и тот же заголовок для транзитных маршрутов. Никакая проверка не отклоняет места назначения обратной связи, локального соединения или RFC 1918, а поскольку компонент является прокси-сервером, ответ восходящего потока возвращается вызывающей стороне, поэтому запрос достигает внутренних служб и адресов облачных метаданных, и их ответы раскрываются. Заголовок авторизации, сопровождающий запрос, пересылается без изменений на хост, назначенный вызывающим абонентом.
Сценарий консоли pip по умолчанию привязывает 127.0.0.1, но ссылка docker-compose.yml поставляется --host 0.0.0.0 с опубликованными портами и без обязательного HEADROOM_PROXY_TOKEN, о чем сам сервер предупреждает при запуске, поэтому развертывание после отправленного компоновки предоставляет сети затронутые маршруты плоскости данных без аутентификации.
Показать оригинальное описание (EN)
Headroom's LLM proxy lets a client choose the upstream destination with the x-headroom-base-url request header. _resolve_openai_upstream_base in headroom/proxy/handlers/openai.py accepts the header value, requires only that it parse with an http or https scheme and a hostname, and returns it for use as the upstream base; _select_passthrough_base_url in headroom/providers/proxy_routes.py reads the same header for the passthrough routes. No check rejects loopback, link-local, or RFC 1918 destinations, and because the component is a proxy the upstream response is returned to the caller, so the request reaches internal services and cloud metadata addresses and their responses are disclosed. The Authorization header accompanying the request is forwarded unchanged to the caller-designated host. The pip console script binds 127.0.0.1 by default, but the reference docker-compose.yml ships --host 0.0.0.0 with published ports and no required HEADROOM_PROXY_TOKEN, which the server itself warns about at startup, so a deployment following the shipped compose exposes the affected data-plane routes to the network without authentication.
Характеристики атаки
Последствия
Строка CVSS v4.0