CVE-2023-38697 in protocol-http1 Gem
要約
〜によって VulDB • 2026年05月24日
protocol-http1 は HTTP/1 プロトコルの低レベル実装を提供します。RFC 9112 のセクション 7.1 では、チャンクサイズ、チャンクデータ、チャンク拡張子の形式が定義されています。Content-Length ヘッダーの値は 0-9 の数字の文字列であるべきであり、チャンクサイズは 16 進数の文字列であるべきで、CRLF によってチャンクデータから区切られるべきであり、チャンク拡張子には不可視文字を含めてはいけません。しかし、Falcon は対応する RFC に違反する以下の動作を示します：`+` プレフィックスを持つ Content-Length ヘッダー値の受け入れ、`0x` プレフィックスを持つ 16 進数の Content-Length ヘッダー値の受け入れ、`0x` および `+` プレフィックス付きのチャンクサイズの受け入れ、チャンク拡張子内の LF の受け入れ。この動作は、複数の HTTP パーサーを介して転送する際にデシンクを引き起こし、HTTP リクエストスモーキングやファイアウォールのバイパスにつながる可能性があります。この問題は `protocol-http1` v0.15.1 で修正されました。既知の回避策はありません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.