CVE-2026-54556 in Http4s
Tóm tắt
Bởi VulDB • 26/08/2026
Http4s là một giao diện Scala cho các dịch vụ HTTP. Trước phiên bản 0.23.35 và 1.0.0-M47, một peer HTTP/2 không được xác thực có thể gây ra tình trạng từ chối dịch vụ do thiếu bộ nhớ (denial of service) trong backend Ember khi tính năng HTTP/2 được bật. Bộ bao bọc Hpack trong ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala nối các mảnh khung HEADERS và CONTINUATION rồi giải mã chúng thành một List duy nhất, nhưng việc kiểm toán maxHeaderSize không bao gồm các header đã đánh chỉ mục (indexed headers) hoặc chi phí trên mỗi header của HPACK. Do đó, một khối header được nén nhỏ có thể mở rộng thành biểu diễn đã giải mã lớn hơn nhiều và vẫn tồn tại trong bộ nhớ để xử lý. Các máy chủ tiếp nhận lưu lượng HTTP/2 từ nguồn không đáng tin cậy và các client kết nối đến máy chủ HTTP/2 không đáng tin đều bị ảnh hưởng; các kết nối độc hại đồng thời có thể làm cạn kiệt heap của tiến trình. Vấn đề này đã được khắc phục trong các phiên bản 0.23.35 và 1.0.0-M47.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.