CVE-2026-69218
Http4s Ember HTTP/2: unbounded continuation frame accumulation
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.23.35, 1.0.0-M47
Обновите библиотеку Http4s до версий 0.23.35, 1.0.0-M47 или более поздних.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Уязвимость DoS в HTTP/2-реализации Http4s Ember из-за бесконечного накопления CONTINUATION-фреймов. Удаленный клиент может вызвать исчерпание кучи (OOM).
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
При получении фрейма HEADERS или PUSH_PROMISE без флага END_HEADERS компонент H2Connection буферизует заголовочный блок и последующие фрагменты CONTINUATION без проверки лимита размера до этапа декодирования запроса.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Переполнение памяти heap (Out-Of-Memory) и отказ в обслуживании (DoS) узлов ember-server или ember-client с активным withHttp2.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
http4shttp4s
все ранние➔Fix: 0.23.35
http4shttp4s
>= 1.0.0-M1➔Fix: 1.0.0-M47
——
>= 0➔Fix: 0.23.35
——
>= 0➔Fix: 0.23.35
——
>= 0➔Fix: 0.23.35
——
>= 1.0.0-M1➔Fix: 1.0.0-M47
——
>= 1.0.0-M1➔Fix: 1.0.0-M47
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (5)
- github.comhttps://github.com/http4s/http4s/security/advisories/GHSA-cp4q-fqw9-4hf6
- github.comhttps://github.com/http4s/http4s/commit/6e8eccd64a6a74ab4811897881e95e0e1b3a818e
- github.comhttps://github.com/http4s/http4s/commit/f9dcca4f5a17992ac0972fafd7920f9bc12cdc51
- github.comhttps://github.com/http4s/http4s/releases/tag/v0.23.35
- github.comhttps://github.com/http4s/http4s/releases/tag/v1.0.0-M47
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-69218: Http4s Ember HTTP/2: unbounded continuation frame accumulation. URL: https://cve.futuretools.ru/cve/CVE-2026-69218
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_69218,
title = {{CVE-2026-69218: Http4s Ember HTTP/2: unbounded continuation frame accumulation}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-69218}},
note = {Оперативный инженерный анализ киберугроз}
}