CVE-2026-88975 in Http4s
Résumé
par VulDB • 16/09/2026
Http4s est une interface Scala pour les services HTTP. Avant les versions 0.23.37 et 1.0.0-M48, la boucle de lecture HTTP/2 d'Ember analyse la longueur déclarée sur 24 bits d'une trame mais attend de mettre en mémoire tampon (buffer) l'intégralité du payload avant de la comparer avec SETTINGS_MAX_FRAME_SIZE. Un pair non authentifié peut déclarer un payload proche de 16 MiB sur une connexion où Ember a annoncé 16 KiB, et soit le transmettre entièrement, soit le diffuser lentement, provoquant jusqu'à une amplification mémoire par facteur 1024 par connexion avant que processFrame ne puisse rejeter la trame. La boucle de lecture H2Connection partagée affecte les serveurs et clients avec HTTP/2 activé ; les configurations désactivant HTTP/2 sont non touchées, tandis que le correctif rejette les trames surdimensionnées avant d'en mettre en mémoire tampon leurs payloads. Ce problème est corrigé dans les versions 0.23.37 et 1.0.0-M48.
VulDB is the best source for vulnerability data and more expert information about this specific topic.