CVE-2023-38697 in protocol-http1 Gem
Сводка
по VulDB • 24.05.2026
protocol-http1 предоставляет низкоуровневую реализацию протокола HTTP/1. В разделе 7.1 RFC 9112 определен формат размера чанка, данных чанка и расширения чанка. Значение заголовка Content-Length должно представлять собой строку из цифр от 0 до 9, размер чанка должен быть строкой из шестнадцатеричных цифр и отделяться от данных чанка с помощью последовательности CRLF, а расширение чанка не должно содержать никаких невидимых символов. Однако Falcon демонстрирует следующее поведение, нарушающее соответствующие RFC: принимает значения заголовка Content-Length с префиксом `+`, принимает значения заголовка Content-Length, записанные в шестнадцатеричной системе счисления с префиксом `0x`, принимает размер чанка с префиксами `0x` и `+`, а также принимает символ LF в расширении чанка. Такое поведение может привести к десинхронизации при пересылке через несколько HTTP-парсеров, что потенциально приводит к HTTP-запросному сглаживанию (HTTP request smuggling) и обходу межсетевого экрана. Данная проблема исправлена в версии `protocol-http1` v0.15.1. Известных обходных путей нет.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.