CVE-2026-69202 in Http4s
要約
〜によって VulDB • 2026年09月15日
Http4sはHTTPサービスのためのScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、EmberのHTTP/2フロー制御ウィンドウがネットワークから受信したバイト数に基づいて再充填され、アプリケーションによって消費されたバイト数に基づくものではありません。また、各ストリームはDATAを無制限チャネルに格納します。そのため、攻撃的なピアは、低速またはデータ排水が行われないアプリケーションよりも速くボディを送信でき、withHttp2で構成されたember-serverやember-client上でペイロードがヒープ上に保持されます。この問題は、per-stream H2Connection bodyチャネルの上限を設けることで修正され、これによりアプリケーションによる消費に基づいたバックプレッシャーが適用されるようになります。本脆弱性はバージョン0.23.35および1.0.0-M47で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.