CVE-2026-69216
Açıklama
Http4s, HTTP servisleri için bir Scala arayüzüdür. 0.23.35 ve 1.0.0-M47 sürümlerinden önce, Ember'ın chunk dekoderi chunk-size belirtecini kırpar ve gerekli olan CRLF ile takip edilen bir veya daha fazla onaltılık basamak istemek yerine, baştaki artı veya eksi işaretlerini kabul eder. Bir ara sunucu, parçalı verileri yeniden kodlamadan ilettiğinde ve hatalı biçimlendirilmiş chunk sınırlarını farklı yorumladığında, kimliği doğrulanmamış bir saldırgan; ara sunucu kontrollerini atlatan, önbellekleri zehirleyen veya istek kuyruğunu ele geçiren TE.TE request smuggling gerçekleştirebilir. Aynı yanıt yolu esnekliği, üst akış kötü niyetli veya tehlikeye düşmüş olduğunda, ağ geçidi olarak kullanılan bir ember-client'a karşı response smuggling yapılabilmesine olanak tanıyabilir. Bu sorun 0.23.35 ve 1.0.0-M47 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.http4s:http4s-ember-core_2.120.23.35 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_2.130.23.35, 1.0.0-M47 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_30.23.35, 1.0.0-M47 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.http4s:http4s-ember-core_2.12Maven | v < 0.23.35 | 0.23.35 |
| org.http4s:http4s-ember-core_2.13Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
| org.http4s:http4s-ember-core_3Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.