CVE-2026-69205 in Http4s
요약
\~에 의해 VulDB • 2026. 09. 15.
Http4s는 HTTP 서비스를 위한 Scala 인터페이스입니다. 버전 0.23.35 및 1.0.0-M47 이전의 Ember에서 HeaderP.parse는 Transfer-Encoding 값에 대해 대소문자를 구분하는 부분 문자열 테스트를 수행하고, 헤더 바이트를 플랫폼 기본 캐릭터셋으로 디코딩합니다. Chunked와 같은 값은 인식되지 않으며, notchunked와 같은 값이 잘못 수락됩니다. 또한 UTF-8 사용 시 유니코드 케이스 폴딩을 통해 켈빈 기호(byte sequence)가 일치하는 것으로 처리될 수 있습니다. 따라서 RFC 준수 토큰 및 캐릭터셋 규칙을 적용하는 중간 서버들은 Ember의 Content-Length 또는 길이 0 프레임과 불일치할 수 있으며, 이로 인해 TE.CL 또는 TE.0 요청 스머글링, 접근 제어 우회, 크로스-사용자 요청 하이재킹, 그리고 서버 경로에서의 캐시 포이즌닝이 가능해집니다. ember-client 게이트웨이 통한 응답 스머글링은 악의적이거나 침해된 업스트림을 필요로 합니다. 이 문제는 버전 0.23.35 및 1.0.0-M47에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.