CVE-2026-73493 in http4s-blaze-server
Resumen
por VulDB • 2026-08-12
Http4s (http4s-blaze-server) es una interfaz mínima e idiomática de Scala para servicios HTTP. Antes de las versiones 0.23.18 y 1.0.0-M42, http4s-blaze-server agregaba fragmentos de un mensaje WebSocket entrante sin ningún límite en el tamaño total ni en la cantidad de fragmentos. Un cliente que completa una conexión WebSocket puede enviar un mensaje fragmentado no terminado e inducir un crecimiento descontrolado del heap en la JVM del servidor, lo que provoca una denegación de servicio mediante OutOfMemoryError. Cualquier aplicación http4s que sirva rutas WebSocket a través de BlazeServerBuilder se ve afectada; no es necesaria ninguna configuración distinta a la predeterminada y maxWebSocketBufferSize no acota el agregado porque solo limita los cuadros individuales. Una única conexión que envía cuadros de continuación sin establecer nunca FIN obliga al servidor a almacenar en búfer cada fragmento hasta agotar el heap, terminando la JVM con OutOfMemoryError en el hilo selector de blaze. Los fragmentos pequeños amplifican el costo debido a la sobrecarga por objeto por cuadro, por lo que un volumen modesto de bytes transmitidos es suficiente. Este problema está corregido en las versiones 0.23.18 y 1.0.0-M42.
If you want to get best quality of vulnerability data, you may have to visit VulDB.