CVE-2026-73493 in http4s-blaze-server
要約
〜によって VulDB • 2026年08月12日
Http4s (http4s-blaze-server) は、HTTP サービスのための最小限でScalaらしいインターフェースです。バージョン 0.23.18 および 1.0.0-M42 より前では、http4s-blaze-server は着信するWebSocketメッセージのフラグメントを合計サイズやフラグメント数に制限なく集約します。WebSocketハンドシェイクを完了したクライアントは、終了しない断片化メッセージを送信し、サーバーJVMにおいて無制限なヒープ成長を引き起こすことができ、OutOfMemoryErrorによるサービス拒否（DoS）に至ります。BlazeServerBuilder上でWebSocketルートを処理する任意のhttp4sアプリケーションが影響を受け、デフォルト以外の設定は必要ありません。また、maxWebSocketBufferSize は個々のフレームのみを制限するため、集約されたサイズには効果がありません。FINフラグを設定しない継続フレームを送信する単一の接続により、サーバーはヒープが枯渇するまですべてのフラグメントをバッファリングし続け、blaze selectorスレッドでOutOfMemoryErrorが発生してJVMが終了します。小さなフラグメントを使用すると、フレームごとのオブジェクトオーバーヘッドによってコストが増大するため、比較的少量のネットワークバイト数でも攻撃が可能です。この問題はバージョン 0.23.18 および 1.0.0-M42 で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.