Uncontrolled Recursion in Akka HTTP

高 7.5CVE-2021-42697 · GHSA-3hw2-h67c-wq66 · 02/11/2021 公開 · 17/06/2026 更新

要点

CVE-2021-42697 は com.typesafe.akka:aakka-http-core_2.13.0-M3, com.typesafe.akka:akka-http-core_2.11, com.typesafe.akka:akka-http-core_2.12 に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：36.1%（全脆弱性の 98.5% より高い）。
対処：10.1.15, 10.2.7 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
com.typesafe.akka:aakka-http-core_2.13.0-M3 Maven	`≥ 10.1.0`	修正版なし
com.typesafe.akka:akka-http-core_2.11 Maven	`≥ 10.1.0, < 10.1.15`	`10.1.15`
com.typesafe.akka:akka-http-core_2.12 Maven	`≥ 10.1.0, < 10.1.15≥ 10.2.0-M1, < 10.2.7`	`10.1.1510.2.7`
com.typesafe.akka:akka-http-core_2.13 Maven	`≥ 10.1.0, < 10.1.15≥ 10.2.0-M1, < 10.2.7`	`10.1.1510.2.7`
com.typesafe.akka:akka-http-core_2.13.0-M5 Maven	`≥ 10.1.0`	修正版なし
com.typesafe.akka:akka-http-core_2.13.0-RC2 Maven	`≥ 10.1.0`	修正版なし
com.typesafe.akka:akka-http-core_2.13.0-RC3 Maven	`≥ 10.1.0`	修正版なし
http server akka	`≥ 10.1.0, < 10.1.15≥ 10.2.0, < 10.2.7`	`10.1.1510.2.7`

概要

Akka HTTP 10.1.x and 10.2.x before 10.2.7 can encounter stack exhaustion while parsing HTTP headers, which allows a remote attacker to conduct a Denial of Service attack by sending a User-Agent header with deeply nested comments.

NVD の説明

Akka HTTP 10.1.x before 10.1.15 and 10.2.x before 10.2.7 can encounter stack exhaustion while parsing HTTP headers, which allows a remote attacker to conduct a Denial of Service attack by sending a User-Agent header with deeply nested comments.

参考情報

nvd.nist.gov/vuln/detail/CVE-2021-42697 · ADVISORY
akka/akka-http#3924 · WEB
akka.io/blog · WEB
akka.io/blog/news/2021/11/02/akka-http-10.2.7-released · WEB
akka.io/blog/news/2021/11/22/akka-http-10.1.15-released · WEB
doc.akka.io/docs/akka-http/current/security/2021-CVE-2021-42697-stack-overflow-parsing-user-agent.html · WEB
akka/akka-http · PACKAGE
packetstormsecurity.com/files/167018/Akka-HTTP-10.1.14-Denial-Of-Service.html · WEB
akka.io/blog · Vendor Advisory

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン