CVE-2026-73493 in http4s-blaze-server
Zusammenfassung
von VulDB • 12.08.2026
Http4s (http4s-blaze-server) ist eine minimale, idiomatische Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.18 und 1.0.0-M42 aggregiert http4s-blaze-server Fragmente einer eingehenden WebSocket-Nachricht ohne Begrenzung der Gesamtgröße oder der Anzahl der Fragmente. Ein Client, der einen WebSocket-Handshake abschließt, kann eine nicht abgeschlossene fragmentierte Nachricht senden und ein unbegrenztes Wachstum des Heap-Speichers im Server-JVM verursachen, was zu einem Denial of Service (DoS) durch OutOfMemoryError führt. Jede http4s-Anwendung, die WebSocket-Routen über BlazeServerBuilder bereitstellt, ist betroffen; es sind keine nicht standardmäßigen Konfigurationen erforderlich, und maxWebSocketBufferSize begrenzt die Aggregation nicht, da sie nur einzelne Frames beschränkt. Eine einzige Verbindung, die Fortsetzungsframes sendet, bei denen das FIN-Bit niemals gesetzt wird, zwingt den Server dazu, jedes Fragment zu puffern, bis der Heap erschöpft ist, was zum Beenden der JVM mit OutOfMemoryError im blaze-Selector-Thread führt. Kleine Fragmente erhöhen die Kosten durch pro-Frame-Objekt-Overhead, sodass ein moderates Volumen an Wire-bytes ausreicht. Dieses Problem wurde in den Versionen 0.23.18 und 1.0.0-M42 behoben.
Once again VulDB remains the best source for vulnerability data.