CVE-2026-48710 'BadHost': एक ही हेरफेर किया गया Host हेडर लाखों AI एजेंटों के पाथ-आधारित प्रमाणीकरण को चकमा दे सकता है

BadHost हमला कैसे काम करता है

Starlette के URL पुनर्निर्माण के तर्क से रूट किए गए पथ और प्रमाणित किए गए पथ के बीच एक खतरनाक बेमेल पैदा हो जाता है। जब कोई HTTP अनुरोध आता है, तो राउटर सही ढंग से लक्ष्य एंडपॉइंट की पहचान कर लेता है। लेकिन जब एप्लिकेशन यह जांचने के लिए request.url की जांच करता है कि उपयोगकर्ता अधिकृत है या नहीं, तो Starlette Host हेडर और अनुरोध पथ को जोड़कर और परिणाम को दोबारा पार्स करके उस URL का पुनर्निर्माण करता है ।

एक हमलावर इसका फायदा उठाने के लिए किसी सुरक्षित एंडपॉइंट जैसे /admin/secure पर एक सावधानी से जहरीला किया गया Host हेडर भेज सकता है, उदाहरण के लिए:

राउटर इस अनुरोध को सही तरीके से /admin/secure हैंडलर तक भेज देता है—लेकिन जब प्रमाणीकरण मिडलवेयर request.url.path की जांच करता है, तो उसे /health दिखाई देता है। अगर मिडलवेयर एक अनुमति-सूची का उपयोग करता है जो /health को एक सार्वजनिक हेल्थ-चेक एंडपॉइंट के रूप में भरोसा करती है, तो हमलावर आसानी से अंदर घुस जाता है। प्रमाणीकरण जांच चुपचाप बायपास हो जाती है—न कोई टोकन, न कोई पासवर्ड, न किसी उपयोगकर्ता की बातचीत की जरूरत ।

X41 D-Sec की सलाह इसकी चौंका देने वाली सादगी की पुष्टि करती है: "HTTP Host हेडर में बस एक ही अक्षर डालना सर्वर को चकमा देने के लिए पर्याप्त है" । भ्रम पैदा करने वाले विशिष्ट अक्षरों में फॉरवर्ड स्लैश, प्रश्न चिह्न और हैश प्रतीक शामिल हैं—ये मानक URL डीलिमीटर हैं जिन्हें Starlette ने कभी मान्य नहीं किया ।

AI एजेंट इंफ्रास्ट्रक्चर पर व्यापक प्रभाव

इस भेद्यता की पहुंच बहुत बड़ी है। Starlette लगभग हर बड़े Python-आधारित AI सर्विंग और ऑर्केस्ट्रेशन टूल का छिपा हुआ इंजन है, जिसे हर हफ्ते लगभग 32.5 करोड़ बार डाउनलोड किया जाता है । वर्जन 1.0.1 से पहले के Starlette का उपभोग करने वाली सभी डाउनस्ट्रीम परियोजनाएं प्रभावित हैं:

• FastAPI: AI मॉडल सर्विंग APIs और एजेंट बैकएंड बनाने के लिए सबसे लोकप्रिय आधुनिक Python वेब फ्रेमवर्क ।
• vLLM: एक हाई-थ्रूपुट LLM इन्फ्रेंस इंजन जो बड़े AI प्रदाताओं के उत्पादन में तैनात है, जो BadHost की खोज करने वाले ऑडिट का लक्ष्य था ।
• LiteLLM: एक LLM API प्रॉक्सी और ऑर्केस्ट्रेशन लेयर जो कई प्रदाताओं में API कुंजियों, दर सीमाओं और मॉडल एक्सेस का प्रबंधन करती है ।
• MCP सर्वर: AI एजेंट टूल-यूज पाइपलाइनों के लिए बुनियादी ढांचा, जहां प्रमाणीकरण बायपास संवेदनशील टूल क्रेडेंशियल्स और निष्पादन संदर्भों को लीक कर सकता है ।

पुष्टि किए गए प्रभावित संस्करण Starlette >= 0.8.3 से < 1.0.1 तक फैले हुए हैं, जिसका मतलब है कि वर्षों से स्थिर रिलीज चलाने वाले सिस्टम भी संभावित रूप से असुरक्षित हैं ।

CVSS स्कोर विवाद: शोधकर्ता 6.5 को भ्रामक क्यों कहते हैं

CVE-2026-48710 के लिए आधिकारिक गंभीरता रेटिंग ने सुरक्षा समुदाय के भीतर महत्वपूर्ण असहमति पैदा कर दी है:

• आधिकारिक NVD CVSS v3.1 स्कोर: 6.5 (मध्यम) — वेक्टर CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N गोपनीयता और अखंडता पर प्रभाव को "कम" मानता है, दायरे को "अपरिवर्तित" तक सीमित करता है, और उपलब्धता पर कोई प्रभाव नहीं बताता है ।
• X41 D-Sec CVSS v4.0 स्कोर: 7.0 (उच्च) — खोजकर्ताओं का वेक्टर

  CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N

  दायरे को "बदला हुआ" में बदल देता है और गोपनीयता और अखंडता पर "उच्च" पूरक प्रभाव डालता है, जो AI एजेंट आर्किटेक्चर में होने वाली क्रॉस-बाउंड्री विशेषाधिकार वृद्धि को बेहतर ढंग से पकड़ता है ।
• Secwest का गंभीरता चरित्र-चित्रण: गंभीर (Critical) — स्वतंत्र शोध फर्म BadHost को "गंभीर" लेबल करती है, और कहती है कि आधिकारिक स्कोर "डाउनस्ट्रीम प्रभाव को भौतिक रूप से कम आंकता है" ।

तीन कारक शोधकर्ताओं के इस तर्क को रेखांकित करते हैं कि 6.5 खतरनाक रूप से कम है:

1. AI इंफ्रास्ट्रक्चर में दायरे की सीमाएं टूट जाती हैं। CVSS v3.1 "अपरिवर्तित" दायरा मानता है कि हमलावर एक ही सुरक्षा डोमेन के भीतर काम करता है । व्यवहार में, BadHost पूरी तरह से एक विश्वास सीमा पार करता है: एक अनधिकृत बाहरी अभिनेता आंतरिक, पथ-संरक्षित एंडपॉइंट्स को कॉल करने की क्षमता प्राप्त करता है जो मॉडल वेट, एजेंट टूल्स और डेटा पाइपलाइनों के साथ इंटरैक्ट करते हैं—यह एक पाठ्यपुस्तक पूरक दायरा प्रभाव है जिसे CVSS v4.0 के SC:H/SI:H मेट्रिक्स अंततः पकड़ते हैं ।
2. प्रभाव "कम" नहीं, बल्कि "उच्च" है। कम गोपनीयता और अखंडता रेटिंग से पता चलता है कि केवल सीमित डेटा ही उजागर हुआ है। लेकिन एक सफल शोषण लक्ष्य पथ के पीछे हर चीज तक अप्रतिबंधित पहुंच प्रदान करता है: संग्रहीत MCP सर्वर क्रेडेंशियल्स, चैट इतिहास, ऑर्केस्ट्रेशन API कुंजियां और संभावित रूप से कंट्रोल-प्लेन कमांड। यह पथ-आधारित प्रमाणीकरण का उपयोग करने वाले किसी भी AI एजेंट परिनियोजन के लिए संवेदनशील डेटा का पूर्ण उल्लंघन है ।
3. "मध्यम" लेबल धीमे पैचिंग चक्रों को प्रोत्साहित करता है। संगठन अक्सर तत्काल उपचार के लिए "उच्च" या "गंभीर" CVE को प्राथमिकता देते हैं, जबकि "मध्यम" खामियों को अगली रखरखाव विंडो में शेड्यूल किया जाता है। BadHost की मामूली शोषण क्षमता और विशाल हमले की सतह को देखते हुए, इसे "मध्यम" लेबल करना उस तात्कालिकता का खंडन करता है जिसे शोधकर्ता आवश्यक मानते हैं ।

समाधान: Starlette 1.0.1 में अपग्रेड करें

26 मई, 2026 को जारी Starlette संस्करण 1.0.1 में निश्चित पैच शामिल है। इस समाधान को GitHub सुरक्षा सलाह GHSA-86qp-5c8j-p5mr और X41 सलाह X41-2026-002 में ट्रैक किया गया है ।

पैच दो मुख्य सुरक्षा उपाय लागू करता है:

1. Host हेडर का सत्यापन: Host हेडर को अब request.url के निर्माण में उपयोग करने से पहले RFC 9112 §3.2 और RFC 3986 §3.2.2 में निर्दिष्ट व्याकरण के अनुसार मान्य किया जाता है ।
2. सुरक्षित फ़ॉलबैक: जब कोई खराब Host हेडर पाया जाता है, तो Starlette हमलावर द्वारा आपूर्ति किए गए मान के बजाय scope["server"]—वास्तविक सर्वर कनेक्शन टपल—पर वापस आ जाता है। परिणामस्वरूप, request.url.path लगातार वास्तविक रूट किए गए पथ को दर्शाता है ।

FastAPI परियोजना ने पुष्टि की है कि यह समाधान प्रभावी है और तुरंत starlette को >=1.0.1 में अपग्रेड करने की अनुशंसा की है ।

संगठनों के लिए आवश्यक जोखिम न्यूनीकरण

Starlette पैकेज को अपग्रेड करना आवश्यक पहला कदम है, लेकिन एक व्यापक बचाव के लिए कई परतों की आवश्यकता होती है:

1. तुरंत पैच करें। AI इंफ्रास्ट्रक्चर चलाने वाले हर वर्चुअल वातावरण, कंटेनर इमेज और परिनियोजन पाइपलाइन में यह कमांड निष्पादित करें:

   pip install --upgrade starlette

   सभी प्रभावित सेवाओं को पुनः आरंभ करें। यह सीधे Starlette इंस्टॉलेशन के साथ-साथ FastAPI, vLLM, LiteLLM और MCP सर्वर इंस्टेंस पर भी लागू होता है ।

2. निर्भरताओं का ऑडिट और पिन करें। FastAPI और अन्य फ्रेमवर्क स्वचालित रूप से Starlette न्यूनतम संस्करण लागू नहीं कर सकते हैं। requirements.txt, pyproject.toml, poetry.lock, या समकक्ष लॉक फाइलों में starlette>=1.0.1 को स्पष्ट रूप से आवश्यक करें। पुराने इंस्टॉलेशन की पहचान करने के लिए सभी वातावरणों में

   pip list | grep starlette

   चलाएं ।

3. AI स्टैक के हर घटक को स्कैन करें। कोई भी Python सेवा जो HTTP प्रदान करती है—कस्टम FastAPI ऐप्स, LLM इन्फ्रेंस एंडपॉइंट्स, एजेंट ऑर्केस्ट्रेशन प्लेन, मॉडल इवैल्यूएशन पैनल और OpenAI-संगत प्रॉक्सी—एक असुरक्षित Starlette संस्करण एम्बेड कर सकती है। पूर्ण बुनियादी ढांचे का ऑडिट करें ।

4. रिवर्स प्रॉक्सी और WAF को सख्त करें। nginx, Envoy, HAProxy, Cloudflare, या AWS ALB को Python एप्लिकेशन पर ट्रैफ़िक अग्रेषित करने से पहले खराब Host हेडर को अस्वीकार या साफ करने के लिए कॉन्फ़िगर करें। यह गहराई से बचाव प्रदान करता है जो एप्लिकेशन पैचिंग में देरी होने पर भी शोषण को रोकता है ।

5. पथ-सुरक्षा जांच को request.url.path से दूर ले जाएं। मूल कारण रूटिंग पथ और request.url.path के बीच का बेमेल था। जहां भी संभव हो, प्रमाणीकरण मिडलवेयर को request.scope["path"] का उपयोग करने के लिए स्विच करें, जो कच्चे ASGI स्कोप से प्राप्त होता है और Host हेडर द्वारा जहरीला नहीं किया जा सकता है । X41 D-Sec एंडपॉइंट-आंतरिक प्रमाणीकरण तंत्र के पक्ष में पथ-आधारित प्रमाणीकरण से पूरी तरह बचने की सिफारिश करता है ।

6. एक्सपोजर के लिए परीक्षण करें। संगठनों को यह सत्यापित करने में मदद करने के लिए एक ऑनलाइन स्कैनर जारी किया गया है कि उनके सर्वर असुरक्षित हैं या नहीं । प्रमाणीकरण सीमाओं के खिलाफ गहन प्रवेश परीक्षण के साथ संयुक्त, यह अनदेखी की गई हमले की सतहों को प्रकट कर सकता है।

डेबियन ट्रैक

डेबियन-आधारित परिनियोजन के लिए, CVE-2026-48710 को डेबियन सुरक्षा ट्रैकर में "महत्वपूर्ण" की गंभीरता के साथ ट्रैक किया गया है, और प्रभावित सुइट्स के लिए संबंधित पैच किए गए starlette पॉइंट रिलीज़ उपलब्ध हैं । bullseye-security या समकक्ष रिपॉजिटरी से सुधारात्मक apt लेन-देन लागू करें, और प्रभावित systemd यूनिट फाइलों को पुनः लोड करें ।