CVE-2026-69202
Açıklama
Http4s, HTTP servisleri için bir Scala arayüzüdür. 0.23.35 ve 1.0.0-M47 sürümlerinden önce, Ember'ın HTTP/2 akış kontrol penceresi, uygulama tarafından tüketilen baytlar yerine ağdan alınan baytlara göre yenilenmekte ve her akış DATA verilerini sınırsız bir kanalda saklamaktadır. Bu nedenle kötü niyetli bir eş, gövdeyi yavaş veya boşaltma işlemi yapmayan bir uygulamanın tükettiğinden daha hızlı gönderebilir ve withHttp2 ile yapılandırılmış bir ember-server veya ember-client üzerinde yüklerin yığında tutulmasına neden olabilir. Yama, uygulama tüketiminin geri basınç uygulaması için akış başına H2Connection gövde kanalını sınırlandırmaktadır. Bu sorun 0.23.35 ve 1.0.0-M47 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.http4s:http4s-ember-core_2.120.23.35 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_2.130.23.35, 1.0.0-M47 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_30.23.35, 1.0.0-M47 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.http4s:http4s-ember-core_2.12Maven | v < 0.23.35 | 0.23.35 |
| org.http4s:http4s-ember-core_2.13Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
| org.http4s:http4s-ember-core_3Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.