CVE-2026-54556
Təsvir
Http4s HTTP xidmətləri üçün Scala interfeysidir. 0.23.35 və 1.0.0-M47 versiyalarından əvvəl, autentifikasiya olunmamış HTTP/2 peer-i, HTTP/2 aktiv edilmiş Ember backend-də yaddaşın dolması ilə nəticələnən xidmətdən imtina (DoS) halına səbəb ola bilər. ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala faylındakı Hpack wrapper-i HEADERS və CONTINUATION freym fraqmentlərini birləşdirir və onları tək bir List şəklində dekodlaşdırır, lakin maxHeaderSize hesablamasına indeksləşdirilmiş başlıqlar və ya HPACK hər-başlıq xərcləri daxil edilmir. Buna görə də, kiçik sıxılmış başlıq bloku emal üçün yaddaşda qalan daha böyük dekodlaşdırılmış təmsilə çevrilə bilər. Etibarsız HTTP/2 trafikinə açıq olan serverlər və etibarsız HTTP/2 serverinə yönləndirilmiş klientlər bu problemdən təsirlənir və eyni vaxtda qurulan zərərli bağlantılar prosesin heap yaddaşını tükəndirə bilər. Bu problem 0.23.35 və 1.0.0-M47 versiyalarında düzəldilib.
Necə düzəltmək olar
- org.http4s:http4s-ember-core_2.120.23.35 və ya daha yeni versiya
- org.http4s:http4s-ember-core_2.131.0.0-M47, 0.23.35 və ya daha yeni versiya
- org.http4s:http4s-ember-core_30.23.35, 1.0.0-M47 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.http4s:http4s-ember-core_2.12Maven | v < 0.23.35 | 0.23.35 |
| org.http4s:http4s-ember-core_2.13Maven | 1.0.0-M1 ≤ v < 1.0.0-M47, v < 0.23.35 | 1.0.0-M47, 0.23.35 |
| org.http4s:http4s-ember-core_3Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.