golang.org/x/net/http2/h2c vulnerable to request smuggling attack

高 7.5CVE-2022-41721 · GHSA-fxg5-wq6x-vr4w · GO-2023-1495 · 13/01/2023 公開 · 17/06/2026 更新

要点

CVE-2022-41721 は golang.org/x/net, h2c (golang) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.8%（全脆弱性の 78.7% より高い）。
対処：0.1.1-0.20221104162952-702349b0e862, 2022-11-04 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
golang.org/x/net Go	`≥ 0.0.0-20220524220425-1d687d428aca, < 0.1.1-0.20221104162952-702349b0e862`	`0.1.1-0.20221104162952-702349b0e862`
h2c golang	`< 2022-11-04`	`2022-11-04`

概要

A request smuggling attack is possible when using MaxBytesHandler. When using MaxBytesHandler, the body of an HTTP request is not fully consumed. When the server attempts to read HTTP2 frames from the connection, it will instead be reading the body of the HTTP request, which could be attacker-manipulated to represent arbitrary HTTP2 requests.