Starlette ข้ามการตรวจสิทธิ์ผ่าน Host header CVE-2026-48710

พอดีไล่ฟีด CISA KEV เจอ Starlette หมายเลข CVE-2026-48710 ซึ่งเพิ่มเข้ารายการวันที่ 2 กันยายน 2026 เพราะมีการใช้โจมตีจริงแล้ว CISA เรียกปัญหานี้ว่า HTTP request/response smuggling ผลคือแอปอาจอ่าน path ที่ใช้ตรวจสิทธิ์ผิด ผู้ดูแลเว็บและ API ควรตรวจ dependency ด้วย เพราะแพ็กเกจอื่นอาจติดตั้ง Starlette มาให้

เกิดอะไรขึ้น

Starlette เป็น framework และ toolkit สำหรับเว็บ Python แบบ ASGI ปัญหาอยู่ที่การนำ HTTP Host header มาประกอบกับ path เพื่อสร้าง request.url โดยไม่ได้ตรวจรูปแบบของ Host ก่อน ถ้ามีอักขระที่ไม่ควรอยู่ในส่วนนี้ การแยกองค์ประกอบ URL อาจเปลี่ยนขอบเขตของ path, query หรือ fragment ไปจากคำขอจริง

router ยังเลือก endpoint จาก path จริง แต่ middleware ที่อ่าน request.url.path อาจเห็นอีกเส้นทาง หากแอปใช้ค่านี้ตัดสินว่าเส้นทางไหนต้องล็อกอิน ผู้โจมตีอาจผ่านการตรวจไปถึง endpoint ที่ต้องมีสิทธิ์ได้ ดูรายละเอียดใน advisory ของผู้พัฒนา GHSA-86qp-5c8j-p5mr

ผู้พัฒนาให้ระดับ Moderate และ CVSS 3.1 ที่ 6.5 เวกเตอร์ระบุว่าโจมตีผ่านเครือข่ายได้ ไม่ต้องมีสิทธิ์เดิมและไม่ต้องให้ผู้ใช้ทำอะไร ส่วน CISA ระบุว่าถูกใช้โจมตีจริง และอาจใช้ร่วมกับ CVE-2026-42271 วันครบกำหนดใน KEV คือ 16 กันยายน 2026 ตาม ข้อมูล KEV ที่ CISA เผยแพร่ ผลกระทบยังขึ้นกับวิธีตรวจสิทธิ์และรับ header ของแต่ละแอป

ใครโดนและรุ่นที่แก้

ตารางนี้ยึดรุ่นแพ็กเกจจาก advisory ของ Starlette โดยตรง แอปที่ใช้ request.url หรือ request.url.path เพื่อตัดสินเรื่องความปลอดภัยเป็นกลุ่มที่ต้องตรวจเป็นพิเศษ

แพตช์ตรวจ Host ตามรูปแบบใน RFC 9112 §3.2 และ RFC 3986 §3.2.2 ก่อนสร้าง URL หากค่าไม่ถูกต้องจะใช้ scope["server"] แทน ข้อมูลรุ่นและวิธีแก้ตรงกับ ระเบียน CVE-2026-48710

ต้องทำอะไร

เริ่มจากตรวจรุ่นใน environment หรือ container ที่รันแอปจริง รวมถึงไฟล์ dependency และ lockfile สำรองไฟล์ที่ต้องเปลี่ยน แล้วอัปเดตเป็น 1.0.1 หรือใหม่กว่าที่ framework และแพ็กเกจอื่นรองรับ หากใช้ pip โดยตรง ให้รันใน environment ของโครงการ ตัวอย่างคำสั่งคือ

python -m pip show starlette
python -m pip install --upgrade "starlette>=1.0.1"
python -m pip check

ถ้าโครงการใช้เครื่องมือจัดการ dependency ตัวอื่น ให้แก้รุ่นและสร้าง lockfile ด้วยเครื่องมือนั้น ก่อน deploy ให้ทดสอบทั้งเส้นทางสาธารณะและเส้นทางที่ต้องล็อกอิน ตรวจว่า middleware ปฏิเสธผู้ไม่มีสิทธิ์ได้ แล้วตรวจรุ่นในระบบหลัง deploy อีกครั้ง การแก้ไฟล์ dependency อย่างเดียวอาจยังไม่เปลี่ยนแพ็กเกจที่ process ใช้อยู่

ส่วนตัวผมให้เร่งแพตช์ โดยเริ่มจากแอปที่เปิดรับอินเทอร์เน็ตและตรวจสิทธิ์จาก path เพราะมีหลักฐานการโจมตีจริงแล้ว ที่มา: CISA KEV — Kludex Starlette HTTP Request/Response Smuggling Vulnerability, CVE-2026-48710 และ Starlette Security Advisory หากมีรายละเอียดเพิ่มเติมจากผู้พัฒนา เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ