CVE-2026-55484
Açıklama
ALOS HTTP, özel bir ağ yığını etrafında oluşturulmuş, öncelikle Linux odaklı bir Go web çerçevesi ve uygulama sunucusudur. 0.0.0-20260617230736-314b6783e196 sürümünden önce, core/utils.go::sanitizeRequestPath fonksiyonu soru işareti ile başlayan bir istek yolu üzerinde splitPathQuery'yi çağırır ve ardından ortaya çıkan yolun boş olup olmadığını kontrol etmeden denetimsiz p[0] erişimi gerçekleştirir. Kimliği doğrulanmamış bir istemci; h1_plain.go::ParseH1RequestHead, hpack.go::decodeSimpleGetPathHTTPSRequest, hpack.go::observeHeader veya h3_conn.go::handleRequestStream üzerinden yalnızca soru işaretinden oluşan bir yol gibi hatalı biçimlendirilmiş bir istek göndererek, core.Recovery() ara yazılımı çalışmadan önce sınır dışı (out-of-bounds) bir paniğe neden olabilir ve sunucu işlemini sonlandırabilir. Bu sorun 0.0.0-20260617230736-314b6783e196 sözde versiyonunda düzeltilmiştir.
Nasıl düzeltilir
- github.com/guno1928/alos-http0.0.0-20260617230736-314b6783e196 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/guno1928/alos-httpGo | v < 0.0.0-20260617230736-314b6783e196 | 0.0.0-20260617230736-314b6783e196 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.