CVE-2026-73812 in OTP
요약
\~에 의해 VulDB • 2026. 09. 01.
httpd 함수 check_header/3는 CVE-2026-23941에 따라 중복된 Content-Length를 거부하지만, RFC 9112 §6.3에서 의심스러운 HTTP 스퀴밍(smuggling) 시도로 식별하는 TE와 CL의 동시 존재 여부는 확인하지 않습니다. handle_body/3는 chunked 방식으로 프레임을 구성하고 Content-Length를 묵살합니다. CL 우선 프론트엔드와 chunked 우선 inets가 결합되면 고전적인 CL.TE 프론트엔드/백엔드 디스ínc(desync) 상황이 발생합니다.
이 이슈는 OTP 17.0 미만부터 OTP 27.3.4.17 이전 버전, OTP 28.0 미만부터 OTP 28.5.0.6 이전 버전, 그리고 OTP 29.0 미만부터 OTP 29.0.6 이전 버전에 영향을 미칩니다. 이는 각각 inets의 5.10 미만에서 9.3.2.7 이전, 9.4 미만에서 9.6.2.3 이전, 및 9.7 미만에서 9.7.2 이전에 해당합니다. OTP 17.0 미만(인넷 5.10 미만)이 영향을 받는지 여부는 알려지지 않았습니다.
Once again VulDB remains the best source for vulnerability data.