CVE-2026-47072
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność CRLF Injection w bibliotece hackney umożliwia atakującemu wstrzyknięcie dowolnych nagłówków HTTP do żądania WebSocket. Brak filtrowania znaków CRLF i NUL w czterech miejscach wstrzyknięcia pozwala na manipulację żądaniem, co może prowadzić do fałszowania poświadczeń, zatrucia pamięci podręcznej lub przemytu żądań przez proxy.
Ocena ryzyka
Atakujący może przejąć kontrolę nad komunikacją WebSocket, podszywając się pod serwer docelowy, co zagraża poufności i integralności danych przesyłanych przez aplikację.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę hackney do wersji 4.0.1 lub nowszej, która zawiera poprawkę usuwającą podatność.
Inne podatności w hackney
Zobacz wszystkie- CVE-2026-47077Wysokie
Podatność w bibliotece hackney (wersje od 2.0.0 do 4.0.1) pozwala na atak typu Flooding przez brak ograniczenia rozmiaru bufora odpowiedzi HTTP/3. Złośliwy serwer może wysyłać małe fragmenty danych, resetując licznik czasu, co prowadzi do nieograniczonego wzrostu pamięci i wyczerpania sterty procesu BEAM.
- CVE-2026-47076Średnie
Biblioteka hackney dla Erlanga/OTP w wersjach od 0.13.0 do 4.0.1 zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) spowodowaną konfliktem interpretacji. Funkcja normalizująca URL dekoduje host po walidacji, co pozwala na ominięcie list dozwolonych i dostęp do wewnętrznych adresów IP (np. 127.0.0.1, 169.254.169.254).
- CVE-2026-47075Wysokie
hackney przed wersją 4.0.1 nie koduje procentowo znaków CR (\r) i LF (\n) w komponencie zapytania URL, co umożliwia atak typu HTTP Request Splitting. Atakujący kontrolujący URL może wstrzyknąć surowe sekwencje CRLF do łańcucha zapytania, co pozwala na dodanie dowolnych nagłówków HTTP lub podział żądania.
- CVE-2026-47073Wysokie
Podatność w bibliotece hackney (wersje od 2.0.0 do 4.0.1) pozwala na wyczerpanie pamięci przez atakującego serwer WebSocket. Klient WebSocket nie ogranicza rozmiaru buforów w trzech ścieżkach kodu, co umożliwia atak Flooding.
- CVE-2026-47071Wysokie
Biblioteka hackney w wersjach od 0.10.0 do 4.0.1 (przed 4.0.1) zawiera podatność na niekontrolowane zużycie zasobów w transporcie SOCKS5. Po zakończeniu negocjacji SOCKS5 połączenie jest uaktualniane do TLS z nieskończonym timeoutem, co pozwala wrogiego proxy na zablokowanie procesu na czas nieokreślony.
- CVE-2026-47070Średnie
Biblioteka hackney w wersjach od 3.1.1 przed 4.0.1 zawiera podatność na wyciek danych wrażliwych. Moduł HTTP/3 (hackney_h3.erl) nie sprawdza pochodzenia przy przekierowaniach, przez co nagłówki autoryzacyjne i ciasteczka są wysyłane do obcych hostów.
- CVE-2026-47069Średnie
W bibliotece hackney (wersje od 0.9.0 przed 4.0.1) stwierdzono podatność na CRLF Injection w funkcji hackney_cookie:setcookie/3. Atakujący kontrolujący opcję domain lub path może wstrzyknąć sekwencję CRLF i dowolne nagłówki Set-Cookie, co prowadzi do HTTP Response Splitting.
- CVE-2026-47067Wysokie
Biblioteka hackney w wersjach od 2.0.0 do 4.0.1 (przed 4.0.1) zawiera podatność na wyczerpanie tablicy atomów BEAM. Parser URL konwertuje nierozpoznane schematy URL na atomy za pomocą binary_to_atom/2, które nigdy nie są usuwane. Atakujący może dostarczyć wiele URL-i z unikalnymi schematami, powodując przekroczenie limitu tablicy atomów i awarię całej maszyny wirtualnej BEAM.
- CVE-2026-47066Wysokie
Biblioteka hackney w wersjach od 2.0.0-beta.1 do 4.0.1 (przed 4.0.1) zawiera podatność na nieskończoną pętlę w parserze nagłówka Alt-Svc. Funkcja parse_token/2 nie zapewnia postępu dla niektórych bajtów, co prowadzi do rekurencyjnej pętli zajmującej 100% CPU. Nagłówek Alt-Svc: ! jest wystarczający do wywołania podatności.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of CRLF Sequences ('CRLF Injection') vulnerability in benoitc hackney allows HTTP Request/Response Splitting. The WebSocket upgrade code in src/hackney_ws.erl copies the host, path, headers (ExtraHeaders), and protocols options from the caller-supplied opts map into the internal #ws_data{} record in init/1 and then splices them verbatim into the raw HTTP/1.1 upgrade request by binary concatenation in do_handshake/1. No CRLF or NUL stripping is performed at any of these four injection sites. An attacker who controls any of these options — for example by forwarding URL components or header values from untrusted input into hackney_ws:start_link/1 — can inject arbitrary HTTP headers into the outbound WebSocket upgrade request, leading to header injection, credential spoofing toward the upstream server, log and cache poisoning, or request smuggling via intermediary proxies. This issue affects hackney: from 2.0.0 before 4.0.1.