CRLF injection in Tesla.Multipart disposition parameters allows multipart part header injection

Improper Encoding or Escaping of Output vulnerability in elixir-tesla tesla allows multipart part header injection via unescaped Content-Disposition parameter values. Tesla.Multipart.part_headers_for_disposition/1 interpolates each disposition parameter as #{k}="#{v}" with no validation of CR (\r), LF (\n), or double-quote characters. The values come verbatim from the caller via Tesla.Multipart.add_field/4 (the name parameter), Tesla.Multipart.add_file/3, and Tesla.Multipart.add_file_content/4 (both the filename parameter and other disposition opts). A " in the value closes the quoted parameter early; a \r\n ends the Content-Disposition header line and starts a new part header (such as a forged Content-Type), or, after a second \r\n, ends the entire part header block and prepends bytes to the part body. The default-filename path in add_file/3 derives the filename via Path.basename/1, which does not strip CR or LF, so any application forwarding a partially-attacker-controlled file path inherits the same issue. This issue affects tesla: from 0.8.0 before 1.18.3.

elixir-tesla の tesla には、出力のエンコードまたはエスケープが不適切である脆弱性が存在します。そのため、エスケープされていない Content-Disposition パラメータ値を介してマルチパートのパートヘッダをインジェクションされる可能性があります。Tesla.Multipart.part_headers_for_disposition/1 は disposition パラメータを #{k}=#{v} の形で連結しますが、CR および LF、ならびにダブルクォート文字の検証を行いません。これらの値は呼び出し元から Tesla.Multipart.add_field/4 の name パラメータ、Tesla.Multipart.add_file/3、そして Tesla.Multipart.add_file_content/4 のファイル名パラメータおよびその他の disposition オプションを介してそのまま渡されます。値の中にダブルクォートが含まれると、引用符で囲まれたパラメータが早期に閉じられてしまいます。さらに CRLF は Content-Disposition ヘッダ行の終端と新しいパートヘッダの開始（偽造された Content-Type など）を引き起こします。また、2 回目の CRLF の後にはパートヘッダ全体のブロックが終端され、パート本体の前に任意のバイトが挿入されます。add_file/3 のデフォルトファイル名の取得は Path.basename/1 によってファイル名を導出しますが、CR や LF を除去しないため、攻撃者が部分的に制御するファイルパスを転送する任意のアプリケーションも同様の問題を引き継ぎます。この問題は tesla のバージョン 0.8.0 以上 1.18.3 未満に影響します。