Elixir Mint HTTP Response Smuggling via Chunked Encoding Inconsistency (CVE-2026-59249)

EEF-CVE-2026-59249 脆弱性の概要 脆弱性名: EEF-CVE-2026-59249 脆弱性のタイプ: HTTP応答スミージング 脆弱性の説明: elixir-mintにおいて、HTTPリクエストのパースの不一致により、悪意あるHTTPサーバーがstrictミドルウェアとMintクライアント間の接続を逆シリアライズ（デシリアライズ）できる状態を生じ、それによって応答キューの汚染（ポイゾニング）が可能となり、その接続を共有する後続のリクエストに影響を及ぼす。 CVSSスコア: 6.3 (中程度) 影響範囲 影響を受けるソフトウェア: Mint 影響を受けるバージョン: 0.1.0から1.9.3まで 対策 対策ステータス: 具体的な修正措置は言及されていないため、公式更新を監視するか、ベンダーにパッチの入手方法を照会することを推奨する。 構成 構成要件: デプロイメントトポロジーに、Mintクライアントと攻撃者の影響を受けるソースの間にRFC準拠のstrict HTTP/1ミドルウェア（プロキシ、ロードバランサー、またはWAF）が配置され、かつクライアントとミドルウェア間のHTTP/1接続がリクエストを跨いで再利用（keep-aliveによる接続プーリング）される必要がある。ソースへの直接接続、あるいは異なるソースを使用するMintクライアントは、接続の再利用を行わない限り、応答キューの汚染の影響を受けない。 詳細情報 情報源: https://cna.erief.org/osv/EEF-CVE-2026-59249.html インポート源: https://cna.erief.org/osv/EEF-CVE-2026-59249.json JSONデータ: https://api.osv.dev/v1/vulns/EEF-CVE-2026-59249 別名: CVE-2026-59249 CISA-KEV: 830-96wm-6h2w 公開日: 2026-07-16T11:39:29.939Z 更新日: 2026-07-16T11:56:41.04515469Z まとめ 問題の説明: MintのHTTPチャンクサイズパーサーに不一致が存在し、応答キューの汚染を引き起こす。 技術的な詳細: Mintの 関数は、 応答をパースする際、任意の先行する または 付きのチャンクサイズ行を受け入れる。一方、RFC 7230ではチャンクサイズを1*HEXDIGとして定義し、符号プレフィックスを禁止している。このため、ミドルウェアとMintクライアントの間で応答の終了と次のリクエストの開始について認識のズレが生じ、攻撃者はこれを利用することでリクエストを注入し、クライアントの属性を次の正当なリクエストに帰属させることで応答キューを汚染し、無関係な進行中のリクエストに返される応答を破損させることができる。

目標達成 すべての支援者に感謝 — 100%達成しました！

Elixir Mint HTTP Response Smuggling via Chunked Encoding Inconsistency (CVE-2026-59249)

目標達成すべての支援者に感謝 — 100%達成しました！