Definition. Beim Header-Spoofing schickt ein Client selbst HTTP-Header, die eigentlich ein vorgelagerter Proxy setzen sollte, etwa die Client-IP in X-Forwarded-For oder das Ergebnis einer Zertifikatsprüfung. Glaubt das Backend diesen Headern, übernimmt es die Behauptung des Angreifers.

Warum relevant. Hinter einem Reverse Proxy reist Identität oft nur noch als Header mit. Der Proxy muss solche Header deshalb auf jedem Weg zuerst löschen und nur aus geprüftem Zustand neu setzen. Eine Spielart nutzt Unterstriche: Nach den CGI-Regeln aus RFC 3875 werden Bindestriche zu Unterstrichen, sodass X_Forwarded_For und X-Forwarded-For unter CGI und FastCGI auf denselben Namen fallen.

Beispiel. Bei CVE-2026-114640 in Traefik konnte ein Client ohne Zertifikat Ssl-Client-Verify: SUCCESS senden und sich so als beliebige mTLS-Identität ausgeben. FrankenPHP 1.12.4 schloss im Juni 2026 eine Variante mit Unterstrich-Headern.

Verwandt. mTLS, Ingress-Controller, CVE