Kludex Starlette: HTTP Request Smuggling (CVE-2026-48710)

Was ist betroffen, was ist zu tun

Starlette ist ein leichtgewichtiges ASGI-Framework/Toolkit. Vor Version 1.0.1 wurde der HTTP-Header `Host` nicht validiert, bevor er zur Rekonstruktion von `request.url` verwendet wurde.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie Kludex Starlette auf Version 1.0.1. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Kludex Starlette lt *..1.0.1

Behoben in

• Kludex Starlette 1.0.1

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Bestandsaufnahme: Alle Python-Dienste mit Starlette ermitteln, direkt oder transitiv über FastAPI, z. B. mit pip show starlette, pip list | grep -i starlette, SBOM-Abgleich oder Container-Image-Scan mittels Trivy/Grype. Verwundbar sind die Versionen 0.8.3 bis einschließlich 1.0.1. Internetexponierte Dienste mit Authentifizierungs- oder Autorisierungs-Middleware zuerst behandeln.
   • Patch einspielen: Starlette auf die im Upstream-Advisory genannte korrigierte Version aktualisieren. Die Version bitte im Vendor-Advisory nachschlagen, sie liegt nach 1.0.1. Bei FastAPI auf die Kompatibilität der Abhängigkeiten achten und Lockfiles (poetry.lock, requirements.txt, uv.lock) neu erzeugen. Danach die Container-Images neu bauen und ausrollen.
   • Red-Hat-Produkte: Für AI Inference Server 3.3.x, OpenShift AI 3.3.x/3.4.x, Enterprise Linux AI, Ansible Automation Platform und Migration Toolkit for Applications 8.2.0 die zugehörigen RHSA-Errata prüfen und einspielen. Der Patch ist beim Hersteller verfügbar, die Version bitte im Red-Hat-Advisory bzw. Customer Portal nachschlagen.
   • Host-Header am Perimeter filtern: Am Reverse-Proxy, Load-Balancer oder Ingress sofort alle Anfragen verwerfen, deren Host-Header die Zeichen /, ?, #, @, \ oder Leerzeichen enthält. Das geht schneller als der Rollout und neutralisiert den Angriffsvektor.
   • Verkettung prüfen: Laut CISA lässt sich diese Schwachstelle mit CVE-2026-42271 verketten. Deren Patchstand und Exposition daher parallel bewerten und beide Schwachstellen gemeinsam behandeln.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzwerk / Reverse-Proxy: Nur explizit erlaubte Hostnamen durchlassen. Unter nginx einen dedizierten server-Block mit server_name je erlaubtem Host einrichten und einen Default-Server mit return 444; ergänzen. Für Envoy oder Ingress-NGINX eine Header-Validierung per Regex vorsehen, etwa ^[A-Za-z0-9.-]+(:[0-9]+)?$.
   • WAF/IPS: Regel auf Abweichungen im Host-Header anlegen, z. B. als ModSecurity-Regel SecRule REQUEST_HEADERS:Host "@rx [/?#@\\\s]" "id:1048710,phase:1,deny,status:400". Für Suricata eignet sich http.host; content:"/"; bzw. pcre:"/[\/?#@]/" mit alert/drop.
   • Anwendungskonfiguration: TrustedHostMiddleware mit expliziter allowed_hosts-Liste als äußerste Middleware aktivieren, also ohne Wildcard *. Damit werden manipulierte Host-Header vor der URL-Rekonstruktion abgewiesen.
   • Code-Härtung: Zugriffsentscheidungen in eigener Middleware und in Endpunkten nicht auf request.url bzw. str(request.url) stützen, sondern auf request.scope["path"] bzw. request.url.path nach erfolgter Host-Validierung. Mit Code-Review bzw. grep -rn "request.url" lassen sich die betroffenen Stellen identifizieren.
   • IAM / Least Privilege: Administrative und interne Endpunkte, z. B. Modell-Management in OpenShift AI oder Inference-Admin-APIs, nicht allein über Pfadprüfungen schützen. Zusätzlich sollten sie eine Netzsegmentierung und eine separate Authentifizierung erhalten, etwa mTLS oder einen OIDC-Proxy.
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Webserver-/Proxy-Logs: Anfragen mit Sonderzeichen im Host-Feld suchen. Für nginx empfiehlt sich $host/$http_host im Log-Format zu ergänzen. SPL: index=web | regex http_host="[\/?#@\\\s]" | stats count by src_ip, http_host, uri_path.
   • Zeek / Netzwerk-Telemetrie: Im http.log das Feld host mit / oder ? auswerten, KQL-Form: ZeekHttp | where Host matches regex @"[/?#@]" | summarize count() by SourceIp, Host, Uri. Bei TLS-Terminierung am Ingress stattdessen dort loggen.
   • Autorisierungsanomalien: Erfolgreiche Antworten (200/2xx) auf geschützte Pfade ohne gültige Session bzw. ohne vorausgehenden Login-Event korrelieren, insbesondere wenn der Host-Header vom erwarteten FQDN abweicht. Sigma-Form: selection: cs-host|contains: ['/', '?', '#'] UND sc-status: 200.
   • Anwendungslogs: Fehlermeldungen von TrustedHostMiddleware („Invalid host header“, HTTP 400) nach deren Aktivierung überwachen. Gehäufte Treffer einer Quell-IP deuten auf Scanning oder Ausnutzungsversuche hin.
   • Nachgelagerte Aktivität: Nach einem Treffer prüfen, ob Konfigurationsänderungen, Modell-Uploads, Job-Starts (Ansible) oder Datenabflüsse über die betroffene API erfolgt sind.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Starlette ist ein leichtgewichtiges ASGI-Framework/Toolkit. Vor Version 1.0.1 wurde der HTTP-Header `Host` nicht validiert, bevor er zur Rekonstruktion von `request.url` verwendet wurde. Da das Routing-Algorithmus auf dem rohen HTTP-Pfad basiert und `request.url` aus dem `Host`-Header neu zusammengesetzt wird, könnte ein fehlerhafter Header dazu führen, dass sich `request.url.path` vom tatsächlich angeforderten Pfad unterscheidet. Middleware und Endpunkte, die Sicherheitsbeschränkungen auf Basis von `request.url` (anstatt des rohen `scope`-Pfads) anwenden, könnten daher umgangen werden. Benutzer sollten auf eine Version aktualisieren, die größer oder gleich 1.0.1 ist, welche den `Host`-Header gemäß der Grammatik von RFC 9112 §3.2 / RFC 3986 §3.2.2 validiert, wenn `request.url` konstruiert wird und bei fehlerhaften Werten auf `scope["server"]` zurückfällt.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: pwn.watch, redhat_csaf, OSV (Open Source Vulnerabilities), cvelistv5, NVD (NIST), CISA KEV Catalog, ENISA EUVD, CVE.org (MITRE), Debian Security Advisories

Hersteller und Produkte

• Debian Starlette
• Encode Encode Starlette
• Kludex Starlette
• Red Hat Red Hat AI Inference Server
• Red Hat Red Hat Ansible Automation Platform 2
• Red Hat Enterprise Linux AI
• Red Hat Migration Toolkit For Applications
• Red Hat Red Hat OpenShift AI (RHOAI)
• Red Hat Red Hat Satellite

Weakness-Klassen (CWE)

• CWE-444Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling')

  Base

  The product acts as an intermediary HTTP agent (such as a proxy or firewall) in the data flow between two entities such as a client and server, but it does not interpret malformed HTTP requests or responses in ways that are consistent with how the messages will be processed by those entities that are at the ultimate destination.

  Eintrag bei MITRE CWE-444

Quellen & Referenzen

• github.comKludex/starlette/security/advisories/GHSA-86qp-5c8j-p5mrweb, x_refsource_CONFIRM, pwn-watch
• NVD (NIST)NVD: CVE-2026-48710advisory, pwn-watch
• github.comKludex/starlette/commit/764dab0dcfb9033d75442d7a359645c9f94648c6web, x_refsource_MISC
• x41-dsec.delab/advisories/x41-2026-002-starletteweb, x_refsource_MISC
• secwest.netstarletteweb, x_refsource_MISC
• CVE.org (MITRE)CVERecord?id=CVE-2026-48710web
• security.access.redhat.comdata/csaf/v2/vex/2026/cve-2026-48710.jsonweb, x_sadp-csaf-vex
• ostif.orgdisclosing-the-badhost-vulnerability-in-starletteweb, x_refsource_MISC
• github.compypa/advisory-database/tree/main/vulns/starlette/PYSEC-2026-161…web, x_refsource_MISC
• github.comKludex/starlettepackage
• bugzilla.redhat.comRHBZ#2481742web, Issue-Tracker, x_refsource_REDHAT
• badhost.orgweb, x_refsource_MISC
• access.redhat.comsecurity/cve/CVE-2026-48710web, Schwachstellendatenbank, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:44696web, Herstellerhinweis, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:43038web, Herstellerhinweis, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:37275web, Herstellerhinweis, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:34532web, Herstellerhinweis, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:34526web, Herstellerhinweis, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:34456web, Herstellerhinweis, x_refsource_REDHAT
• access.redhat.comerrata/RHSA-2026:30089web, Herstellerhinweis, x_refsource_REDHAT

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 01.10.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	entfernt	{"id":"CVE-2026-48710","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-09-02T00:00:00+00:00"}	—
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-48710","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-09-03T03:56:07.799548Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 03.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	geändert	{"id":"CVE-2026-48710","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-09-02T17:44:11.450445Z"}	{"id":"CVE-2026-48710","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-09-02T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 02.09.2026CISA-KEV-Eintrag aktualisiert9119a7d8…

   4 Einzeländerungen: Date Added, Due Date, Required Action, Vulnerability Name

   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Date Added	ergänzt	—	2026-09-02
   Due Date	ergänzt	—	2026-09-02
   Required Action	ergänzt	—	2026-09-02
   Vulnerability Name	ergänzt	—	2026-09-02

   Kennung der Quelle: 9119a7d8-5eab-497f-8521-727c672e3725

4. 02.09.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: nein

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48710
   • https://www.wiz.io/blog/ai-infrastructure-honeypot
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-48710
   Referenz	ergänzt	—	https://www.wiz.io/blog/ai-infrastructure-honeypot
   Referenz	ergänzt	—	https:/www.microsoft.com/en-us/security/blog/2026/08/26/when-ai-infrastructure-becomes-target-securing-gateways-control-points
   SSVC-Einschätzung	geändert	{"id":"CVE-2026-48710","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-05-27T14:22:19.241769Z"}	{"id":"CVE-2026-48710","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-09-02T17:44:11.450445Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

5. 28.08.2026Eintrag geändertGitHub

   Neue Referenzen:

   • https://badhost.org
   • https://github.com/Kludex/starlette/commit/764dab0dcfb9033d75442d7a359645c9f94648c6
   • https://github.com/Kludex/starlette/security/advisories/GHSA-86qp-5c8j-p5mr
   • https://github.com/pypa/advisory-database/tree/main/vulns/starlette/PYSEC-2026-161.yaml

   und 3 weitere Referenzen

   21 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://badhost.org
   Referenz	ergänzt	—	https://github.com/Kludex/starlette/commit/764dab0dcfb9033d75442d7a359645c9f94648c6
   Referenz	ergänzt	—	https://github.com/Kludex/starlette/security/advisories/GHSA-86qp-5c8j-p5mr
   Referenz	ergänzt	—	https://github.com/pypa/advisory-database/tree/main/vulns/starlette/PYSEC-2026-161.yaml
   Referenz	ergänzt	—	https://ostif.org/disclosing-the-badhost-vulnerability-in-starlette
   Referenz	ergänzt	—	https://www.secwest.net/starlette
   Referenz	ergänzt	—	https://www.x41-dsec.de/lab/advisories/x41-2026-002-starlette
   Referenz	entfernt	https://badhost.org	—
   Referenz	entfernt	https://github.com/Kludex/starlette/commit/764dab0dcfb9033d75442d7a359645c9f94648c6	—
   Referenz	entfernt	https://github.com/Kludex/starlette/security/advisories/GHSA-86qp-5c8j-p5mr	—
   Referenz	entfernt	https://github.com/pypa/advisory-database/tree/main/vulns/starlette/PYSEC-2026-161.yaml	—
   Referenz	entfernt	https://ostif.org/disclosing-the-badhost-vulnerability-in-starlette	—
   Referenz	entfernt	https://www.secwest.net/starlette	—
   Referenz	entfernt	https://www.x41-dsec.de/lab/advisories/x41-2026-002-starlette	—
   Referenztyp	entfernt	https://badhost.org Types: Mitigation, Third Party Advisory	—
   Referenztyp	entfernt	https://github.com/Kludex/starlette/commit/764dab0dcfb9033d75442d7a359645c9f94648c6 Types: Patch	—
   Referenztyp	entfernt	https://github.com/Kludex/starlette/security/advisories/GHSA-86qp-5c8j-p5mr Types: Vendor Advisory	—
   Referenztyp	entfernt	https://github.com/pypa/advisory-database/tree/main/vulns/starlette/PYSEC-2026-161.yaml Types: Third Party Advisory	—
   Referenztyp	entfernt	https://ostif.org/disclosing-the-badhost-vulnerability-in-starlette Types: Mitigation, Third Party Advisory	—
   Referenztyp	entfernt	https://www.secwest.net/starlette Types: Exploit, Mitigation, Third Party Advisory	—
   Referenztyp	entfernt	https://www.x41-dsec.de/lab/advisories/x41-2026-002-starlette Types: Exploit, Mitigation, Third Party Advisory	—

   Kennung der Quelle: security-advisories@github.com

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.