Host Header Injection

Définition

Le host header injection est une technique d'attaque consistant à manipuler l'en-tête HTTP Host envoyé dans une requête afin d'exploiter une confiance excessive que certaines applications ou infrastructures accordent à cette valeur, pourtant entièrement contrôlée par le client. Lorsqu'une application génère dynamiquement des liens absolus, des redirections ou des tokens de réinitialisation de mot de passe à partir de la valeur du Host plutôt que d'une configuration serveur fixe, un attaquant peut injecter un domaine arbitraire et rediriger la victime vers un site malveillant, par exemple en interceptant le lien de reset de mot de passe envoyé par email. La technique permet aussi le web cache poisoning : un en-tête Host falsifié combiné à une réponse mise en cache par un CDN ou un reverse proxy en amont peut empoisonner le cache pour tous les visiteurs suivants d'une URL donnée. Les architectures multi-tenant, où un même serveur dessert plusieurs domaines clients selon la valeur du Host, sont particulièrement exposées à un contournement de routage ou à un accès croisé entre tenants. La contre-mesure principale consiste à ne jamais faire confiance à l'en-tête Host côté application, à utiliser une liste blanche de domaines autorisés au niveau du reverse proxy, comme Nginx ou Apache, et à générer les URLs absolues à partir d'une configuration serveur fixe plutôt que dynamique.