CVE-2023-38697

protocol-http1, HTTP/1 protokolunun aşağı səviyyəli tətbiqini təmin edir. RFC 9112 Bölmə 7.1 chunk ölçüsü, chunk məlumatı və chunk genişlənməsinin formatını müəyyən etmişdir. Content-Length başlığının dəyəri 0-9 rəqəmlərindən ibarət sətir olmalı, chunk ölçüsü onaltılıq (hex) rəqəmlərdən ibarət sətir olmalı və CRLF vasitəsilə chunk məlumatından ayrılmalı, chunk genişlənməsi isə heç bir görünməz simvol ehtiva etməməlidir. Lakin Falcon müvafiq RFC-lərə əməl etməyərək aşağıdakı davranışları nümayiş etdirir: `+` prefiksi olan Content-Length başlığı dəyərlərinin qəbul edilməsi, `0x` prefiksi ilə onaltılıq sistemdə yazılmış Content-Length başlığı dəyərlərinin qəbul edilməsi, `0x` və `+` prefiksli chunk ölçülərinin qəbul edilməsi və chunk genişlənməsində LF simvolunun qəbul edilməsi. Bu davranış çox saylı HTTP analizatorları (parsers) vasitəsilə yönləndirmə zamanı desinkronizasiyaya səbəb ola bilər ki, bu da potensial olaraq HTTP request smuggling və firewall-dan yan keçmə ilə nəticələnə bilər. Bu problem `protocol-http1` v0.15.1 versiyasında düzəldilmişdir. Məlum olan alternativ həll yolları yoxdur.