CVE-2026-54556 in Http4s
Sumário
de VulDB • 26/08/2026
O Http4s é uma interface Scala para serviços HTTP. Antes das versões 0.23.35 e 1.0.0-M47, um peer HTTP/2 não autenticado pode causar uma negação de serviço por exaustão de memória (DoS) no backend Ember com o HTTP/2 habilitado. O wrapper Hpack em ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala concatena fragmentos dos quadros HEADERS e CONTINUATION e os decodifica em uma única List, mas a contagem de maxHeaderSize não inclui cabeçalhos indexados nem o overhead por cabeçalho do HPACK. Portanto, um bloco de cabeçalho compactado pequeno pode se expandir para uma representação decodificada muito maior que permanece na memória durante o processamento. Servidores expostos ao tráfego HTTP/2 não confiável e clientes direcionados a servidores HTTP/2 não confiáveis são afetados, e conexões maliciosas concorrentes podem esgotar o heap do processo. Este problema é corrigido nas versões 0.23.35 e 1.0.0-M47.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.