Improper sanitization of Transfer-Encoding headers in net/http

TRUNG BÌNH 6.5CVE-2022-1705 · BIT-golang-2022-1705 · GO-2022-0525 · Công bố 10/08/2022 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-1705 là lỗ hổng mức TRUNG BÌNH (CVSS 6.5) ảnh hưởng stdlib, go (golang).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.5%, cao hơn 74.8% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.18.4, 1.17.12 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
stdlib Go	`≥ 1.18.0-0, < 1.18.4< 1.17.12`	`1.18.41.17.12`
go golang	`≥ 1.18.0, < 1.18.4< 1.17.12`	`1.18.41.17.12`

Mô tả

The HTTP/1 client accepted some invalid Transfer-Encoding headers as indicating a "chunked" encoding. This could potentially allow for request smuggling, but only if combined with an intermediate server that also improperly failed to reject the header as invalid.

Mô tả của NVD

Acceptance of some invalid Transfer-Encoding headers in the HTTP/1 client in net/http before Go 1.17.12 and Go 1.18.4 allows HTTP request smuggling if combined with an intermediate server that also improperly fails to reject the header as invalid.