CVE-2026-73494
Açıklama
blaze, ağ IO odaklı asenkron boru hatları oluşturmak için kullanılan bir Scala kütüphanesidir. 0.23.18 öncesindeki ve 1.0.0-M1 ile 1.0.0-M42 arasındaki sürümlerde, http/src/main/java/org/http4s/blaze/http/parser/ altındaki elle yazılmış Java ayrıştırıcısındaki beş adet HTTP/1.1 uyumluluk gevşekliği, blaze'in daha katı bir ön uç ara katmanından farklı bir istek sınırı belirlemesine neden olabilir. Varsayılan bir BlazeServerBuilder; tchar sözdizimini ihlal eden geçersiz veya değersiz başlık alanı adlarını, eski katlanmış alan satırlarını (obs-fold), desteklenmeyen Transfer-Encoding değerlerini, yinelenen Content-Length alanlarını ve hem Transfer-Encoding hem de Content-Length içeren istekleri kabul eder. Eğer esnek veya eski bir proxy hatalı baytları iletir ancak bunları farklı yorumlarsa, bu uyuşmazlık ön uç kimlik doğrulama atlatmaya, havuzlanmış arka uç bağlantılarında yanıt kuyruğu zehirlemesine veya önbellek zehirlemesine izin verebilir. İstismar edilmesi, birbiriyle uyuşmayan iki ayrıştırıcı çifti gerektirir; varsayılan dışı herhangi bir blaze yapılandırması gerekmez. Etkilenen kontroller BodyAndHeaderParser ve Http1ServerParser içinde uygulanmaktadır. Bu sorun 0.23.18 ve 1.0.0-M42 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- org.http4s:http4s-blaze-server_2.130.23.18 ya da sonraki bir sürüm
- org.http4s:blaze-http_2.130.23.18, 1.0.0-M42 ya da sonraki bir sürüm
- org.http4s:blaze-http_30.23.18, 1.0.0-M42 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.http4s:http4s-blaze-server_2.13Maven | v < 0.23.18 | 0.23.18 |
| org.http4s:blaze-http_2.13Maven | v < 0.23.18, 1.0.0-M1 ≤ v < 1.0.0-M42 | 0.23.18, 1.0.0-M42 |
| org.http4s:blaze-http_3Maven | v < 0.23.18, 1.0.0-M1 ≤ v < 1.0.0-M42 | 0.23.18, 1.0.0-M42 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.