Une recherche en cybersécurité récemment menée par PortSwigger met en avant un résultat marquant : HTTP Terminator a mis au jour de nouvelles techniques de désynchronisation HTTP, après l’exploration massive de vecteurs d’attaque candidats. En parallèle, un second volet de découverte, guidé par des humains, a révélé une vulnérabilité zero-day affectant Apache Traffic Server, désormais corrigée et suivie sous la référence CVE-2026-63078.
Concrètement, le système a été conçu pour explorer l’espace des attaques de façon autonome, puis pour consolider ce qu’il trouve. Les chercheurs indiquent avoir testé des milliers de sites lorsque l’exploration était autorisée via des programmes de bug bounty ou des canaux de divulgation de vulnérabilités.
HTTP Terminator : une exploration autonome de 30 000 vecteurs
Le cœur de l’annonce tient dans la capacité du système à générer et prouver de nouvelles approches. Selon PortSwigger, HTTP Terminator, développé par James Kettle, a exploré 30 000 vecteurs d’attaque candidats avant de faire émerger des techniques inédites.
La démarche s’appuie sur des standards de protocoles : Kettle a alimenté le système avec 138 RFC liées à HTTP et à SMTP. Ces documents ont ensuite été découpés en fragments relativement petits (environ 15 000), afin de servir d’inspiration à la génération des vecteurs.
Sur le terrain, l’équipe annonce avoir testé environ 30 000 sites pour lesquels l’analyse était autorisée. À l’issue d’une première phase de validation, environ 700 cibles étaient jugées vulnérables, puis soumises à des vérifications plus approfondies et à une recherche complémentaire (notamment via des travaux de type RQP).
Pourquoi la désynchronisation HTTP compte autant
Les techniques dites de désynchronisation visent un point précis : faire en sorte que des composants d’une architecture front-end/back-end ne s’accordent plus sur la correspondance entre les requêtes envoyées et les réponses reçues. Dans ce scénario, un front-end peut perdre la trace de quelle réponse appartient à quel utilisateur.
Le risque n’est pas abstrait. Les chercheurs expliquent qu’un mauvais chaînage peut potentiellement conduire à l’exposition de données d’un autre utilisateur, par exemple des cookies de session ou des clés d’API.
Trois apports techniques : nouveaux déclencheurs, motifs et “dangling-byte”
Les résultats de HTTP Terminator ne se limitent pas à la découverte d’une seule variation. L’équipe décrit plusieurs contributions, dont de nouveaux déclencheurs de désync, un motif de Content-Length à double concordance, ainsi qu’une technique baptisée “dangling-byte”.
Déclencheurs inédits et motifs Content-Length
Les chercheurs rapportent la création de nouveaux déclencheurs de désynchronisation, ainsi qu’un motif spécifique fondé sur Content-Length qui utilise une logique de concordance à deux niveaux. Ces éléments servent à guider le comportement de parsing et à favoriser la divergence entre couches.
“Dangling-byte” pour rendre la RQP plus fiable
La partie la plus structurante concerne la technique “dangling-byte”. Dans les explications fournies, l’objectif est d’améliorer la fiabilité de Response Queue Poisoning (RQP). En pratique, la méthode consiste à laisser une requête “manquer” d’un octet : ainsi, la seconde réponse côté back-end n’est produite qu’après qu’une requête victime fournit l’octet manquant.
Pourquoi cela change la donne ? Les auteurs indiquent que cela permet d’éliminer une condition de course qui rend RQP moins fiable sur de nombreux sites. Autrement dit, la technique vise à rendre l’attaque plus déterministe dans des contextes réels.
Un concept plus large : Shared-Parser Confusion
En plus des mécanismes directement liés à la désynchronisation, l’équipe mentionne une découverte plus conceptuelle : Shared-Parser Confusion. L’idée dépasse un simple vecteur technique et décrit un cadre d’attaque plus large.
Selon Kettle, HTTP Terminator a d’abord proposé ce concept en observant que des règles de traitement de réponses pouvaient être appliquées à tort à certaines requêtes lorsque des serveurs réutilisent des logiques de parsing.
Ensuite, Kettle a validé et généralisé ce que le système avait suggéré. Le chercheur souligne que ni lui ni le système n’auraient découvert le concept à eux seuls, ce qui illustre la complémentarité entre exploration automatique et validation humaine.
Une campagne sur plusieurs cibles, y compris des infrastructures sensibles
Les résultats mentionnés par PortSwigger incluent des cibles variées : banques, infrastructures gouvernementales, produits de sécurité et un aéroport. Même si le détail des identités exactes n’est pas fourni pour toutes les organisations, les chercheurs citent le fait qu’une technique basée sur Content-Type multipart/byteranges a fonctionné sur plusieurs implémentations côté serveur.
Cette approche a, d’après le rapport, touché plus de 200 sites dans l’ensemble de test, parmi lesquels figurent des cibles non nommées (dont une banque américaine non identifiée).
Des recommandations de défense centrées sur HTTP/1.1
Sur la partie mitigation, PortSwigger réitère des recommandations connues mais particulièrement importantes dans ce contexte. La stratégie principale consiste à éviter HTTP/1.1 en amont. Lorsque ce choix n’est pas possible, l’équipe recommande d’appliquer une liste blanche (allow-listing) à deux niveaux et de limiter quelles méthodes peuvent transporter un corps de requête.
L’objectif est de réduire l’angle mort : empêcher les divergences de parsing et de règles d’interprétation entre les composants qui traitent les requêtes.
Le volet “human-guided” : un zéro-day dans Apache Traffic Server
En plus des découvertes autonomes, les chercheurs décrivent une cascade de découverte guidée par des humains qui a fini par exposer une vulnérabilité zero-day dans Apache Traffic Server. Le rapport indique que le problème a été corrigé et suivi via CVE-2026-63078.
Au moment de la vérification rapportée (un contrôle mentionné au 7 août), l’équipe indique ne pas avoir trouvé d’enregistrement public de cette CVE dans CVE.org ou dans la base NVD. Par ailleurs, l’avis Apache datant de juillet, qui couvre 34 failles, ne mentionnait pas celle-ci.
Ce décalage crée un espace de vérification : les éléments publics cités ne permettaient pas encore aux défenseurs de relier CVE-2026-63078 à une version précise de Traffic Server corrigée. Autrement dit, même si un correctif existe, le mapping exact peut demander encore un peu de consolidation côté publications officielles.
Où intervient la frontière d’autonomie
Le rapport insiste sur un point méthodologique : il distingue clairement ce que le système a pu faire sans intervention et ce qui a nécessité l’intervention de Kettle.
D’un côté, HTTP Terminator a généré et prouvé plusieurs techniques de désynchronisation de façon autonome. De l’autre, deux sujets — le zéro-day Apache et le concept Shared-Parser Confusion (dans sa validation et sa généralisation) — auraient encore demandé le rôle du chercheur pour verrouiller l’interprétation.
Cette frontière permet de comprendre l’approche : l’IA explore l’espace et produit des candidats, mais l’ingénierie humaine intervient pour valider, cadrer et étendre ce qui compte pour la sécurité.
Le projet en open source et les outils associés
PortSwigger a annoncé avoir open-sourcé HTTP Terminator. Le papier ne précise pas quel modèle ou quelle version de modèle a généré chaque découverte autonome, mais les chercheurs mentionnent une utilisation de Claude pour l’extraction documentaire et la génération de cas de test. Pour l’étape d’investigation, l’implémentation requiert Claude Code.
Par ailleurs, d’autres outils ont été rendus publics par des équipes ayant travaillé sur des attaques de type CRLF liées à la désynchronisation, notamment crlf-desyncs et crlf-powered-desync-scanner. Ces ressources peuvent aider les équipes défensives et les chercheurs à étudier plus rapidement les classes d’attaques.
Benchmarks et résultats sur des modèles plus récents
Enfin, Kettle indique avoir testé des modèles plus récents sur un benchmark de rediscovery. Les résultats rapportent un taux de succès de 30% pour GPT-5.6 Sol lorsqu’il est fourni avec une technique d’inspiration.
À retenir : ces chiffres ne signifient pas que l’attaque est “facile”, mais qu’une partie du raisonnement peut être réutilisée d’un cadre à un autre, surtout quand une piste initiale est fournie.
Conclusion : des progrès pour la recherche, un signal pour la défense
Avec HTTP Terminator, PortSwigger montre ce que l’exploration assistée par IA peut apporter : découverte de techniques nouvelles de désynchronisation HTTP, amélioration de la fiabilité via “dangling-byte” et proposition d’un concept plus large autour de la confusion de parsing partagé. En parallèle, le volet guidé par des humains a permis de révéler une vulnérabilité zero-day d’Apache Traffic Server, aujourd’hui corrigée et suivie comme CVE-2026-63078.
Pour les défenseurs, le message reste clair : réduire les divergences de traitement, privilégier des configurations qui évitent les cas où la cohérence de parsing peut se rompre, et vérifier la couverture des correctifs côté serveurs. Dans le même temps, les détails de publications publiques autour de la CVE peuvent nécessiter une surveillance supplémentaire pour relier rapidement la correction aux versions concernées.
Source: https://thehackernews.com/2026/08/ai-assisted-http-terminator-finds-novel.html
