CVE-2026-73495
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
blaze-server przed wersjami 0.23.18 i 1.0.0-M42 może scalać pola nagłówków trailerów z chunked body HTTP/1.1 do `Request.headers`. Ponieważ pola trailerów są kontrolowane przez atakującego, niezautentykowany zdalny klient może wstrzyknąć dowolne nazwy i wartości nagłówków, w tym X-Forwarded-For i wewnętrzne nagłówki autoryzacyjne, które proxy frontowe usunęło z sekcji nagłówków żądania, omijając decyzje oparte na zaufaniu do nagłówków.
Ocena ryzyka
Atakujący może sfałszować adres IP klienta dla list dozwolonych, limitów szybkości lub audytu, podrobić schemat https lub wstrzyknąć wewnętrzne nagłówki autoryzacyjne, co może prowadzić do nieautoryzowanego dostępu i naruszenia integralności decyzji bezpieczeństwa.
Rekomendacja
Należy zaktualizować bibliotekę blaze do wersji 0.23.18 lub 1.0.0-M42, które naprawiają tę podatność.
Oryginalny opis (angielski, źródło NVD)
blaze is a Scala library for building asynchronous pipelines, with a focus on network IO. Prior to 0.23.18 and 1.0.0-M42, blaze-server can merge HTTP/1.1 chunked-body trailer fields into Request.headers. Because trailer fields are attacker-controlled, an unauthenticated remote client can inject arbitrary header names and values, including X-Forwarded-For and internal authorization headers, that a fronting proxy sanitized from the request-header section, bypassing header-based trust decisions in the application. Any http4s application using BlazeServerBuilder over HTTP/1.1 whose routes or middleware trust proxy-set headers, including X-Forwarded-For, X-Real-IP, and X-Forwarded-Host, is affected. If a fronting proxy strips or normalizes those headers but forwards chunked bodies with trailers intact, an attacker can spoof client IP for allow-lists, rate limits, or auditing, forge the https scheme, or inject internal authorization headers. A promoted Connection: close trailer is also honored, allowing attacker-controlled termination of pooled backend connections. This issue is fixed in versions 0.23.18 and 1.0.0-M42.