CVE-2026-88975
Http4s: Ember HTTP/2 buffers a frame's declared payload before checking SETTINGS_MAX_FRAME_SIZE
CVSS 3.1High
7.5/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 0.23.37, 1.0.0-M48
Обновить Http4s до версий 0.23.37 или 1.0.0-M48, где отбрасывание фреймов происходит до буферизации.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Уязвимость DoS в Http4s Ember HTTP/2 из-за буферизации тела фрейма до валидации ограничения SETTINGS_MAX_FRAME_SIZE.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Цикл чтения H2Connection.readLoop парсит 24-битное поле длины входящего фрейма, но ожидает полной буферизации полезной нагрузки в памяти до сопоставления с лимитом SETTINGS_MAX_FRAME_SIZE. Это позволяет передавать фреймы размером до 16 MiB при лимите 16 KiB.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Мультипликация потребления оперативной памяти до 1024 раз на каждое открытое соединение, исчерпание RAM и DoS сервера или клиента.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
http4shttp4s
все ранние➔Fix: 0.23.37
http4shttp4s
>= 1.0.0-M1➔Fix: 1.0.0-M48
——
>= 0➔Fix: 0.23.37
——
>= 0➔Fix: 0.23.37
——
>= 0➔Fix: 0.23.37
——
>= 1.0.0-M1➔Fix: 1.0.0-M48
——
>= 1.0.0-M1➔Fix: 1.0.0-M48
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (4)
- github.comhttps://github.com/http4s/http4s/security/advisories/GHSA-gq9p-f254-h286
- github.comhttps://github.com/http4s/http4s/commit/87cf334fa3f608ef7d3eb359e71e037ba3336d29
- github.comhttps://github.com/http4s/http4s/releases/tag/v0.23.37
- github.comhttps://github.com/http4s/http4s/releases/tag/v1.0.0-M48
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-88975: Http4s: Ember HTTP/2 buffers a frame's declared payload before checking SETTINGS_MAX_FRAME_SIZE. URL: https://cve.futuretools.ru/cve/CVE-2026-88975
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_88975,
title = {{CVE-2026-88975: Http4s: Ember HTTP/2 buffers a frame's declared payload before checking SETTINGS_MAX_FRAME_SIZE}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-88975}},
note = {Оперативный инженерный анализ киберугроз}
}