CVE-2026-73494
blaze: Multiple HTTP/1.1 request-smuggling primitives in blaze's Java wire parser
CVSS 3.1High
7.4/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.23.18, 1.0.0-M42
Обновить blaze до версии 0.23.18 или до 1.0.0-M42 (для ветки 1.x).
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
HTTP Request Smuggling в Java-парсере библиотеки blaze из-за расхождений со стандартом RFC.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Парсер org/http4s/blaze/http/parser/ некорректно обрабатывает tchar-символы, obs-fold заголовки, неизвестные значения Transfer-Encoding, дублирующиеся Content-Length и одновременное наличие обоих заголовков. В конфигурации BlazeServerBuilder это приводит к разной интерпретации границ сообщений бэкендом и фронтенд-прокси.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Контрабанда HTTP-запросов (HTTP Request Smuggling), отравление веб-кэша, обход правил WAF и перехват пользовательских сессий.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
http4sblaze
все ранние➔Fix: 0.23.18
http4sblaze
>= 1.0.0-M1➔Fix: 1.0.0-M42
org.http4sblaze-http_2.13
все ранние➔Fix: 0.23.18
org.http4sblaze-http_2.13
>= 1.0.0-M1➔Fix: 1.0.0-M42
org.http4sblaze-http_3
все ранние➔Fix: 0.23.18
org.http4sblaze-http_3
>= 1.0.0-M1➔Fix: 1.0.0-M42
org.http4shttp4s-blaze-server_2.13
все ранние➔Fix: 0.23.18
——
>= 0➔Fix: 0.23.18
——
>= 0➔Fix: 0.23.18
——
>= 0➔Fix: 0.23.18
——
>= 1.0.0-M1➔Fix: 1.0.0-M42
——
>= 1.0.0-M1➔Fix: 1.0.0-M42
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (9)
- github.comhttps://github.com/http4s/blaze/security/advisories/GHSA-mhvj-jhpq-885v
- github.comhttps://github.com/http4s/blaze/commit/3f7c022e306631b006dcb43a1d7f65c0d1966f17
- github.comhttps://github.com/http4s/blaze/commit/4eec2007806aa9acfefb00ebb636ddc39a147a96
- github.comhttps://github.com/http4s/blaze/commit/927b67753a78c13c4445dac9307f511f5c4878c3
- github.comhttps://github.com/http4s/blaze/commit/a54bc9cd31758335c7f24e29763622fd03fcf734
- github.comhttps://github.com/http4s/blaze/commit/c47d9675f87603f11b32a11d503626bdf9be5c7a
- github.comhttps://github.com/http4s/blaze/commit/e871ebb1d27f50c98fd56988526ce42d0fee74d6
- github.comhttps://github.com/http4s/blaze/releases/tag/v0.23.18
- github.comhttps://github.com/http4s/blaze/releases/tag/v1.0.0-M42
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-73494: blaze: Multiple HTTP/1.1 request-smuggling primitives in blaze's Java wire parser. URL: https://cve.futuretools.ru/cve/CVE-2026-73494
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_73494,
title = {{CVE-2026-73494: blaze: Multiple HTTP/1.1 request-smuggling primitives in blaze's Java wire parser}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-73494}},
note = {Оперативный инженерный анализ киберугроз}
}