CVE-2026-54556 in Http4s
Résumé
par VulDB • 27/08/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.35 et 1.0.0-M47, un pair HTTP/2 non authentifié peut provoquer un déni de service par épuisement de la mémoire (out-of-memory) dans le backend Ember avec HTTP/2 activé. Le wrapper Hpack situé dans ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala concatène les fragments des trames HEADERS et CONTINUATION et les décode en une seule List, mais la gestion de maxHeaderSize n'inclut pas les en-têtes indexés ni la surcharge par en-tête HPACK. Un bloc d'en-têtes compressé peut donc s'étendre en une représentation décodée beaucoup plus volumineuse qui reste en mémoire pour le traitement. Les serveurs exposés à un trafic HTTP/2 non fiable et les clients dirigés vers un serveur HTTP/2 non fiable sont concernés, et des connexions malveillantes concurrentes peuvent épuiser l'espace heap du processus. Ce problème est corrigé dans les versions 0.23.35 et 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.