CVE-2026-73495 in blaze
요약
\~에 의해 VulDB • 2026. 08. 12.
blaze는 네트워크 IO에 중점을 둔 비동기 파이프라인 구축을 위한 Scala 라이브러리입니다. 버전 0.23.18 및 1.0.0-M42 이전의 blaze-server에서는 HTTP/1.1 청크화된 본문(trailer) 필드를 Request.headers로 병합할 수 있습니다. trailer 필드는 공격자가 제어할 수 있으므로, 인증되지 않은 원격 클라이언트는 프론트엔드 프록시가 요청 헤더 섹션에서 제거한 X-Forwarded-For 및 내부 인증 헤더를 포함하여 임의의 헤더 이름과 값을 주입할 수 있으며, 이를 통해 애플리케이션 내 헤더 기반 신뢰 결정을 우회할 수 있습니다. HTTP/1.1을 사용하며 라우트 또는 미들웨어에서 프록시가 설정한 X-Forwarded-For, X-Real-IP 및 X-Forwarded-Host와 같은 헤더를 신뢰하는 BlazeServerBuilder를 사용하는 모든 http4s 애플리케이션이 영향을 받습니다. 프론트엔드 프록시가 이러한 헤더를 제거하거나 정규화하지만 청크화된 본문과 함께 trailer가 그대로 전달되는 경우, 공격자는 허용 목록(rate limits), 감사(auditing) 등을 위해 클라이언트 IP를 속이거나 https 스키마를 위조하거나 내부 인증 헤더를 주입할 수 있습니다. 또한 승격된 Connection: close trailer도 인정되므로, 공격자가 풀링된 백엔드 연결을 종료할 수 있게 됩니다. 이 문제는 버전 0.23.18 및 1.0.0-M42에서 수정되었습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.