CVE-2023-38697 in protocol-http1 Gem
Zusammenfassung
von VulDB • 24.05.2026
protocol-http1 bietet eine Low-Level-Implementierung des HTTP/1-Protokolls. Abschnitt 7.1 von RFC 9112 definiert das Format der Chunk-Größe, der Chunk-Daten und der Chunk-Erweiterung. Der Wert des Content-Length-Headers sollte eine Zeichenfolge aus Ziffern (0-9) sein, die Chunk-Größe sollte eine Zeichenfolge aus hexadezimalen Ziffern sein und durch CRLF von den Chunk-Daten getrennt werden, und die Chunk-Erweiterung sollte keine unsichtbaren Zeichen enthalten. Falcon weist jedoch folgende Verhaltensweisen auf, die gegen die entsprechenden RFCs verstoßen: Akzeptieren von Content-Length-Headerwerten mit einem `+`-Präfix, Akzeptieren von Content-Length-Headerwerten, die hexadezimal mit einem `0x`-Präfix geschrieben sind, Akzeptieren von Chunk-Größen mit `0x`- und `+`-Präfix sowie Akzeptieren von LF in der Chunk-Erweiterung. Dieses Verhalten kann zu Desynchronisationen führen, wenn Anfragen durch mehrere HTTP-Parser weitergeleitet werden, was potenziell HTTP-Request-Smuggling und das Umgehen von Firewalls ermöglicht. Dieses Problem wurde in `protocol-http1` v0.15.1 behoben. Es sind keine bekannten Workarounds verfügbar.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.