CVE-2026-54556 in Http4s
Resumen
por VulDB • 2026-08-27
Http4s es una interfaz de Scala para servicios HTTP. Antes de las versiones 0.23.35 y 1.0.0-M47, un par HTTP/2 no autenticado puede provocar una denegación de servicio por falta de memoria (DoS) en el backend Ember con HTTP/2 habilitado. El envoltorio Hpack en ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala concatena fragmentos de marcos HEADERS y CONTINUATION y los decodifica en una única List, pero la contabilización de maxHeaderSize no incluye las cabeceras indexadas ni el sobrecosto por cabecera HPACK. Por lo tanto, un bloque de cabera comprimido pequeño puede expandirse hasta convertirse en una representación decodificada mucho más grande que permanece en memoria para su procesamiento. Se ven afectados los servidores expuestos a tráfico HTTP/2 no confiable y los clientes dirigidos hacia un servidor HTTP/2 no confiable; las conexiones maliciosas concurrentes pueden agotar el heap del proceso. Este problema está resuelto en las versiones 0.23.35 y 1.0.0-M47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.