CVE-2026-69213
Təsvir
Http4s, HTTP xidmətləri üçün Scala interfeysidir. 0.23.35 və 1.0.0-M47 versiyalarından əvvəl, Ember HTTP/2 çıxan freymləri writeLoop tərəfindən istifadə edilən bir məhdudiyyətsiz növbə vasitəsilə seriyallaşdırır. Qarşı tərəf oxumağı dayandırdıqda, autentifikasiya olunmamış HTTP/2 kliyenti PING, SETTINGS və ya DATA freymlərini göndərməyə davam edə bilər ki, bu da Ember-in təsdiqləmələri və ya WINDOW_UPDATE freymlərini yazıçı onları boşaltdığından daha sürətli şəkildə növbəyə əlavə etməsinə səbəb olur və withHttp2 ilə qurulmuş serverdə yığın yaddaşının (heap memory) tükənməsinə gətirib çıxarır. Eyni davranış düşmən HTTP/2 serverinə qoşulmuş ember-client-ə də təsir edir və yamaq məhdudiyyətsiz yolu məhdudlaşdırılmış, geri təzyiqli (backpressured) çıxan növbələrlə əvəz edir. Bu problem 0.23.35 və 1.0.0-M47 versiyalarında düzəldilmişdir.
Necə düzəltmək olar
- org.http4s:http4s-ember-core_2.120.23.35 və ya daha yeni versiya
- org.http4s:http4s-ember-core_2.130.23.35, 1.0.0-M47 və ya daha yeni versiya
- org.http4s:http4s-ember-core_30.23.35, 1.0.0-M47 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| org.http4s:http4s-ember-core_2.12Maven | v < 0.23.35 | 0.23.35 |
| org.http4s:http4s-ember-core_2.13Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
| org.http4s:http4s-ember-core_3Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.