CVE-2015-5740

Krytyczne

Opublikowano: 18/10/2017(UTC)Przetłumaczono: 14/06/2026(UTC)NVD NIST

Streszczenie

Biblioteka net/http w Go przed wersją 1.4.3 nieprawidłowo analizuje nagłówki HTTP, co umożliwia zdalnym atakującym przeprowadzenie ataków typu HTTP request smuggling za pomocą żądania z dwoma nagłówkami Content-length.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do manipulacji w ruchu HTTP, co może prowadzić do nieautoryzowanego dostępu do danych lub wprowadzenia złośliwego kodu.

Rekomendacja

Zaleca się aktualizację biblioteki Go do wersji 1.4.3 lub nowszej, aby zabezpieczyć się przed tymi atakami.

Oryginalny opis (angielski, źródło NVD)

The net/http library in net/http/transfer.go in Go before 1.4.3 does not properly parse HTTP headers, which allows remote attackers to conduct HTTP request smuggling attacks via a request with two Content-length headers.