Http4s — это интерфейс Scala для HTTP-сервисов. До версий 0.23.35 и 1.0.0-M47 неаутентифицированный узел HTTP/2 может вызвать отказ в обслуживании из-за нехватки памяти в серверной части Ember с включенным HTTP/2. Оболочка Hpack в ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala объединяет фрагменты кадров HEADERS и CONTINUATION и декодирует их в один список, но учет maxHeaderSize не включает индексированные заголовки или служебные данные HPACK для каждого заголовка.
Таким образом, небольшой сжатый блок заголовка может расшириться до гораздо большего декодированного представления, которое остается в памяти для обработки. Это затрагивает серверы, подвергающиеся воздействию ненадежного трафика HTTP/2, и клиенты, направленные на ненадежный сервер HTTP/2, а одновременные вредоносные соединения могут исчерпать кучу процесса. Эта проблема исправлена в версиях 0.23.35 и 1.0.0-M47.
Показать оригинальное описание (EN)
Http4s is a Scala interface for HTTP services. Prior to 0.23.35 and 1.0.0-M47, an unauthenticated HTTP/2 peer can cause an out-of-memory denial of service in the Ember backend with HTTP/2 enabled. The Hpack wrapper in ember-core/shared/src/main/scala/org/http4s/ember/core/h2/Hpack.scala concatenates HEADERS and CONTINUATION frame fragments and decodes them into a single List, but maxHeaderSize accounting does not include indexed headers or HPACK per-header overhead. A small compressed header block can therefore expand into a much larger decoded representation that remains in memory for processing. Servers exposed to untrusted HTTP/2 traffic and clients directed to an untrusted HTTP/2 server are affected, and concurrent malicious connections can exhaust the process heap. This issue is fixed in versions 0.23.35 and 1.0.0-M47.
Характеристики атаки
Последствия
Строка CVSS v4.0