GO-2022-0525

vendorUSosv

Improper sanitization of Transfer-Encoding headers in net/http

Advisory ansehen veröffentlicht 2022-07-25Lizenz: per source

The HTTP/1 client accepted some invalid Transfer-Encoding headers as indicating a "chunked" encoding. This could potentially allow for request smuggling, but only if combined with an intermediate server that also improperly failed to reject the header as invalid.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2022-1705US	medium6.5	1.45% (73rd)	—	2022-08-10
Acceptance of some invalid Transfer-Encoding headers in the HTTP/1 client in net/http before Go 1.17.12 and Go 1.18.4 allows HTTP request smuggling if combined with an intermediate…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

https://go.dev/cl/409874FIX
https://go.dev/cl/410714FIX
https://go.dev/issue/53188REPORT
https://go.googlesource.com/go/+/e5017a93fcde94f09836200bca55324af037ee5fFIX
https://groups.google.com/g/golang-announce/c/nqrv9fbR0zEWEB

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan