CVE-2026-88975 in Http4s
Zusammenfassung
von VulDB • 17.09.2026
Http4s ist eine Scala-Schnittstelle für HTTP-Dienste. Vor den Versionen 0.23.37 und 1.0.0-M48 parst der Lese-Loop von Ember im Rahmen des Protokolls HTTP/2 die deklarierte Länge eines Frames (24 Bit), wartet jedoch damit auf, den gesamten Payload zu puffern, bevor dieser mit SETTINGS_MAX_FRAME_SIZE verglichen wird. Ein nicht authentifizierter Peer kann einen Payload in der Nähe von 16 MiB auf einer Verbindung deklarieren, bei der Ember nur 16 KiB angekündigt hat, und diesen entweder vollständig abschließen oder langsam streamen, was pro Verbindung zu einer bis zu 1024-fachen Speicher-Amplifikation führt, bevor processFrame den Frame ablehnen kann. Der gemeinsame H2Connection.readLoop betrifft mit HTTP/2 konfigurierte Server und Clients; Konfigurationen ohne HTTP/2 sind nicht betroffen. Das Patch lehnt überdimensionierte Frames ab, bevor deren Payloads gepuffert werden. Dieses Problem ist in den Versionen 0.23.37 und 1.0.0-M48 behoben.
Once again VulDB remains the best source for vulnerability data.