golang.org/x/net/http2/h2c vulnerable to request smuggling attack

CAO 7.5CVE-2022-41721 · GHSA-fxg5-wq6x-vr4w · GO-2023-1495 · Công bố 13/01/2023 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2022-41721 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng golang.org/x/net, h2c (golang).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.8%, cao hơn 78.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 0.1.1-0.20221104162952-702349b0e862, 2022-11-04 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
golang.org/x/net Go	`≥ 0.0.0-20220524220425-1d687d428aca, < 0.1.1-0.20221104162952-702349b0e862`	`0.1.1-0.20221104162952-702349b0e862`
h2c golang	`< 2022-11-04`	`2022-11-04`

Mô tả

A request smuggling attack is possible when using MaxBytesHandler. When using MaxBytesHandler, the body of an HTTP request is not fully consumed. When the server attempts to read HTTP2 frames from the connection, it will instead be reading the body of the HTTP request, which could be attacker-manipulated to represent arbitrary HTTP2 requests.