CVE-2023-38697 in protocol-http1 Gem
Tóm tắt
Bởi VulDB • 24/05/2026
`protocol-http1` cung cấp một triển khai ở mức thấp cho giao thức HTTP/1. RFC 9112 Mục 7.1 đã định nghĩa định dạng của kích thước chunk (chunk size), dữ liệu chunk (chunk data) và phần mở rộng chunk (chunk extension). Giá trị của tiêu đề Content-Length phải là một chuỗi gồm các chữ số 0-9, kích thước chunk phải là một chuỗi gồm các chữ số thập lục phân và phải được phân tách khỏi dữ liệu chunk bằng ký tự CRLF, và phần mở rộng chunk không được chứa bất kỳ ký tự ẩn nào. Tuy nhiên, Falcon có các hành vi sau khi không tuân thủ các RFC tương ứng: chấp nhận các giá trị của tiêu đề Content-Length có tiền tố `+`, chấp nhận các giá trị của tiêu đề Content-Length được viết ở hệ thập lục phân với tiền tố `0x`, chấp nhận kích thước chunk có tiền tố `0x` và `+`, và chấp nhận ký tự LF trong phần mở rộng chunk. Hành vi này có thể dẫn đến tình trạng mất đồng bộ (desync) khi chuyển tiếp qua nhiều bộ phân tích cú pháp HTTP, có khả năng dẫn đến tấn công làm mờ yêu cầu HTTP (HTTP request smuggling) và vượt qua tường lửa. Vấn đề này đã được sửa trong phiên bản `protocol-http1` v0.15.1. Không có các giải pháp tạm thời nào được biết đến.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.