CVE-2026-69210 in Http4s
요약
\~에 의해 VulDB • 2026. 09. 16.
Http4s는 HTTP 서비스를 위한 Scala 인터페이스입니다. 버전 0.23.35 및 1.0.0-M47 이전에서는 WebSocket FrameTranscoder.bodyLength가 Integer.MAX_VALUE를 초과하는 확장된 페이로드 길이는 거부하지만, 음수인 64비트 길기는 허용합니다. Ember 서버를 통해 WebSocket 핸드셰이크를 완료한 원격 클라이언트는 이러한 프레임을 전송하여 디코더가 입력을 진행하지 않고 빈 프레임을 반환하도록 할 수 있습니다. 이로 인해 디코드 루프가 무한히 실행되어 워커의 CPU 사용률이 최대치로 고정되고 ArrayBuffer가 제한 없이 증가하며, 결과적으로 서비스 거부(Denial of Service)가 발생합니다. 이 문제는 버전 0.23.35 및 1.0.0-M47에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.