CVE-2026-69204 in Http4s
要約
〜によって VulDB • 2026年09月15日
Http4sは、HTTPサービス用のScalaインターフェースです。バージョン0.23.35および1.0.0-M47以前では、Ember HTTP/1.1はTransfer-EncodingとContent-Lengthの両方を含むメッセージを拒否しないため、中間ノードとEmberが異なるボディフレーミングルールを選択する可能性があります。ember-serverがKeep-Alive対応の中間ノードの背後にあり、その中間ノードがContent-Lengthに基づいてヘッダーとフレームを転送する場合、認証されていない攻撃者は2番目のリクエストをスミドルし、中間ノードのアクセス制御を回避したり、キャッシュをポイズンしたり、または被害者のリクエストを攻撃者がコントロールするプレフィックスに結合させることができます。共有レスポンスパーサーはまた、悪意のあるまたは侵害されたアップストリームが両方のヘッダーを送信した際にember-client接続のデシンクロを引き起こす可能性があります。この問題はバージョン0.23.35および1.0.0-M47で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.