CVE-2026-69218
Açıklama
Http4s, HTTP servisleri için bir Scala arayüzüdür. 0.23.35 ve 1.0.0-M47 sürümlerinden önce, Ember END_HEADERS içermeyen bir HTTP/2 HEADERS veya PUSH_PROMISE çerçevesi aldığında, H2Connection başlık bloğunu ve sonraki CONTINUATION parçalarını herhangi bir boyut sınırı olmaksızın tamponlar. Uzak bir eş, eksik bir bloğu açık tutarak istek çözümlemeden önce yığın belleğini tüketebilir; bu durum withHttp2 ile yapılandırılmış bir ember-server veya ember-client'ı etkiler. Çözüm, birikmiş boyutu EmberServerBuilder.maxHeaderSize veya EmberClientBuilder.maxResponseHeaderSize üzerinden türetilen SETTINGS_MAX_HEADER_LIST_SIZE ile takip eder, sınır aşıldığında GOAWAY gönderir ve eksik bloklara receiveHeadersTimeout uygular. Bu sorun 0.23.35 ve 1.0.0-M47 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.http4s:http4s-ember-core_2.120.23.35 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_2.130.23.35, 1.0.0-M47 ya da sonraki bir sürüm
- org.http4s:http4s-ember-core_30.23.35, 1.0.0-M47 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.http4s:http4s-ember-core_2.12Maven | v < 0.23.35 | 0.23.35 |
| org.http4s:http4s-ember-core_2.13Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
| org.http4s:http4s-ember-core_3Maven | v < 0.23.35, 1.0.0-M1 ≤ v < 1.0.0-M47 | 0.23.35, 1.0.0-M47 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.