CVE-2025-59822
Açıklama
Http4s, HTTP hizmetleri için bir Scala arayüzüdür. 1.0.0-M1 sürümünden 1.0.0-M45 öncesine kadar ve 0.23.31 öncesi sürümlerde http4s, HTTP trailer bölümünün hatalı işlenmesi nedeniyle HTTP İstek Kaçakçılığı'na (HTTP Request Smuggling) karşı savunmasızdır. Bu güvenlik açığı, saldırganların ön uç sunucuların güvenlik kontrollerini atlatmasına, aktif kullanıcılara yönelik hedefli saldırılar başlatmasına ve web önbelleklerini zehirlemesine olanak tanıyabilir. İstismar için bir ön koşul, web uygulamasının trailer başlıklarını ileten bir ters proxy arkasında dağıtılmasını içerir. Bu sorun 1.0.0-M45 ve 0.23.31 sürümlerinde giderilmiştir.
Nasıl düzeltilir
- typelevel http4s0.23.31 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_2.120.23.31 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_2.130.23.31, 1.0.0-M45 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_30.23.31, 1.0.0-M45 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| typelevel http4s | v < 0.23.31, 1.0.0 | 0.23.31 |
| org.http4s:http4s-ember-core_2.12Maven | v < 0.23.31 | 0.23.31 |
| org.http4s:http4s-ember-core_2.13Maven | v < 0.23.31, 1.0.0-M1 ≤ v < 1.0.0-M45 | 0.23.31, 1.0.0-M45 |
| org.http4s:http4s-ember-core_3Maven | v < 0.23.31, 1.0.0-M1 ≤ v < 1.0.0-M45 | 0.23.31, 1.0.0-M45 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.