CVE-2023-29406
ŚrednieStreszczenie
Klient HTTP/1 w języku Go nie w pełni weryfikuje zawartość nagłówka Host. Złośliwie spreparowany nagłówek Host może umożliwić wstrzyknięcie dodatkowych nagłówków lub całych żądań. Poprawka uniemożliwia wysyłanie żądań z nieprawidłową wartością Request.Host lub Request.URL.Host.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataków typu request smuggling lub wstrzykiwania nagłówków, co może prowadzić do naruszenia integralności komunikacji, przechwycenia sesji lub ominięcia zabezpieczeń.
Rekomendacja
Należy niezwłocznie zaktualizować bibliotekę Go do wersji zawierającej poprawkę (np. 1.20.6 lub 1.19.11) oraz ponownie skompilować wszystkie aplikacje korzystające z klienta HTTP/1.
Oryginalny opis (angielski, źródło NVD)
The HTTP/1 client does not fully validate the contents of the Host header. A maliciously crafted Host header can inject additional headers or entire requests. With fix, the HTTP/1 client now refuses to send requests containing an invalid Request.Host or Request.URL.Host value.