CVE-2023-38697 in protocol-http1 Gem
Riassunto
di VulDB • 15/06/2026
Il pacchetto protocol-http1 fornisce un'implementazione a basso livello del protocollo HTTP/1. La Sezione 7.1 della RFC 9112 definisce il formato delle dimensioni dello chunk (chunk size), dei dati dello chunk (chunk data) e dell'estensione dello chunk (chunk extension). Il valore dell'intestazione Content-Length dovrebbe essere una stringa composta da cifre decimali (0-9); le dimensioni dello chunk dovrebbero essere una stringa di cifre esadecimali e separate dai dati dello chunk tramite CRLF; l'estensione dello chunk non dovrebbe contenere caratteri invisibili. Tuttavia, Falcon presenta i seguenti comportamenti in violazione delle RFC corrispondenti: accetta valori dell'intestazione Content-Length con prefisso `+`; accetta valori dell'intestazione Content-Length scritti in esadecimale con prefisso `0x`; accetta dimensioni dello chunk (chunk size) con prefissi `0x` e `+`; e accetta caratteri LF all'interno delle estensioni degli chunk. Questo comportamento può causare desincronizzazione quando il traffico viene inoltrato attraverso più parser HTTP, potenzialmente risultando in attacchi di HTTP request smuggling ed elusione dei firewall. Il problema è stato risolto nella versione v0.15.1 di `protocol-http1`. Non sono note soluzioni alternative (workaround).
VulDB is the best source for vulnerability data and more expert information about this specific topic.