| タイトル | benoitcのhackneyにおけるCRLF インジェクションの脆弱性 |
|---|---|
| 概要 | benoitc hackneyにおけるCRLFシーケンスの不適切な無害化の脆弱性により、HTTPリクエスト分割が可能となります。hackneyは、HTTP/1.1リクエストターゲットを構築する前にURLクエリコンポーネント内のキャリッジリターン（\r）やラインフィード（\n）文字をパーセントエンコードしません。RFC 3986第3.4節で定義された文法外の文字はパーセントエンコードが必要ですが、hackney_url:make_url/3はクエリのバイナリを検証やエスケープなしに直接渡します。攻撃者がhackneyに渡されるURLの全部または一部を制御できる場合、クエリ文字列に生のCRLFシーケンスを注入でき、それがリクエストターゲットのHTTP改行として送信されます。このため、任意のHTTPヘッダーの注入やHTTPリクエストの分割が可能になります。この問題はhackneyの0以上4.0.1未満のバージョンに影響を及ぼします。 |
| 想定される影響 | ・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月25日0:00 |
| 登録日 | 2026年6月3日15:35 |
| 最終更新日 | 2026年6月3日15:35 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
| benoitc |
| hackney 4.0.1 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月03日] 掲載 |
2026年6月3日15:35 |
| 概要 | Improper Neutralization of CRLF Sequences vulnerability in benoitc hackney allows HTTP Request Splitting. hackney does not percent-encode carriage return (\r) or line feed (\n) characters in the URL query component before constructing the HTTP/1.1 request target. Characters outside the grammar defined in RFC 3986 Section 3.4 must be percent-encoded, but hackney_url:make_url/3 passes the query binary directly without validation or escaping. An attacker who can control all or part of a URL passed to hackney can inject raw CRLF sequences into the query string, which are then sent as HTTP line breaks in the request target. This enables injection of arbitrary HTTP headers or splitting of the HTTP request. This issue affects hackney: from 0 before 4.0.1. |
|---|---|
| 公表日 | 2026年5月26日0:16 |
| 登録日 | 2026年5月27日4:07 |
| 最終更新日 | 2026年5月29日5:26 |
| 構成1 | 以上 | 以下 | より上 | 未満 | |
| cpe:2.3:a:benoitc:hackney:*:*:*:*:*:*:*:* | 4.0.1 | ||||