CVE-2015-5739
KrytyczneStreszczenie
Biblioteka net/http w Go przed wersją 1.4.3 nieprawidłowo analizuje klucze nagłówków HTTP, co umożliwia zdalnym atakującym przeprowadzenie ataków typu HTTP request smuggling poprzez użycie spacji zamiast myślnika.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do manipulacji żądaniami HTTP, co może prowadzić do nieautoryzowanego dostępu do danych lub wykonania niepożądanych operacji na serwerze.
Rekomendacja
Zaleca się aktualizację biblioteki Go do wersji 1.4.3 lub nowszej, aby zabezpieczyć się przed tym rodzajem ataku.
Oryginalny opis (angielski, źródło NVD)
The net/http library in net/textproto/reader.go in Go before 1.4.3 does not properly parse HTTP header keys, which allows remote attackers to conduct HTTP request smuggling attacks via a space instead of a hyphen, as demonstrated by "Content Length" instead of "Content-Length."