Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

github логотип

GHSA-54w6-vxfh-fw7f

Опубликовано: 06 янв. 2023
Источник: github
Github: Прошло ревью
CVSS3: 7.5

Описание

Http4s improperly parses User-Agent and Server headers

Impact

The User-Agent and Server header parsers are susceptible to a fatal error on certain inputs. In http4s, modeled headers are lazily parsed, so this only applies to services that explicitly request these typed headers.

v0.21.x

val unsafe: Option[`User-Agent`] = req.headers.get(`User-Agent`)

v0.22.x, v0.23.x, v1.x

val unsafe: Option[`User-Agent`] = req.headers.get[`User-Agent`] val alsoUnsafe: Option[`Server`] = req.headers.get[Server]

Patches

Fixes are released in 0.21.34, 0.22.15, 0.23.17, and 1.0.0-M38.

Workarounds

Use the weakly typed header interface

v0.21.x
val safe: Option[Header] = req.headers.get("User-Agent".ci) // but don't do this val unsafe = header.map(_.parsed)
v0.22.x, v0.23.x, v1.x
val safe: Option[Header] = req.headers.get(ci"User-Agent")

Пакеты

Наименование

org.http4s:http4s-core_2.13

maven
Затронутые версииВерсия исправления

>= 0.1.0, < 0.21.34

0.21.34

Наименование

org.http4s:http4s-core_2.13

maven
Затронутые версииВерсия исправления

>= 0.22.0, < 0.22.15

0.22.15

Наименование

org.http4s:http4s-core_2.13

maven
Затронутые версииВерсия исправления

>= 0.23.0, < 0.23.17

0.23.17

Наименование

org.http4s:http4s-core_2.13

maven
Затронутые версииВерсия исправления

>= 1.0.0-M1, < 1.0.0-M38

1.0.0-M38

Наименование

org.http4s:http4s-core_2.10

maven
Затронутые версииВерсия исправления

>= 0.1.0, <= 0.9.3

Отсутствует

Наименование

org.http4s:http4s-core_2.11

maven
Затронутые версииВерсия исправления

>= 0.1.0, <= 0.21.0-M1

Отсутствует

Наименование

org.http4s:http4s-core_2.12

maven
Затронутые версииВерсия исправления

>= 0.1.0, < 0.21.34

0.21.34

Наименование

org.http4s:http4s-core_2.12

maven
Затронутые версииВерсия исправления

>= 0.22.0, < 0.22.15

0.22.15

Наименование

org.http4s:http4s-core_2.12

maven
Затронутые версииВерсия исправления

>= 0.23.0, < 0.23.17

0.23.17

Наименование

org.http4s:http4s-core

maven
Затронутые версииВерсия исправления

>= 1.0.0-M1, <= 1.0.0-M30

Отсутствует

EPSS

Процентиль: 56%
0.00335
Низкий

7.5 High

CVSS3

Дефекты

CWE-20

Связанные уязвимости

CVSS3: 7.5
nvd
около 3 лет назад

Http4s is a Scala interface for HTTP services. Starting with version 0.1.0 and prior to versions 0.21.34, 0.22.15, 0.23.17, and 1.0.0-M38, the `User-Agent` and `Server` header parsers are susceptible to a fatal error on certain inputs. In http4s, modeled headers are lazily parsed, so this only applies to services that explicitly request these typed headers. Fixes are released in 0.21.34, 0.22.15, 0.23.17, and 1.0.0-M38. As a workaround, use the weakly typed header interface.

EPSS

Процентиль: 56%
0.00335
Низкий

7.5 High

CVSS3

Дефекты

CWE-20