Go net/http HTTP/2 Unencrypted Connection DoS via Missing Timeout CVE-2026-56853

脆弱性概要 脆弱性ID: #80205 脆弱性説明: 未暗号化されたHTTP/2をサポートするようにサーバーが設定されている場合、HTTP/2クライアントプレフィックスを含むかどうかを確認するために、各新規接続からわずかなバイト数を読み取ります。以前は、このプロセスにタイムアウトが設定されていませんでした。現在、ReadHeaderTimeoutが適用されています。 CVE番号: CVE-2026-56853 影響範囲 影響コンポーネント: net/http 影響バージョン: Go 1.25 および Go 1.26 修正案 修正コミット: - メインブランチ: https://go.dev/cl/795540 - Go 1.25 ブランチ: https://go.dev/cl/797520 - Go 1.26 ブランチ: https://go.dev/cl/797620 - release-branch.go1.25: https://go.dev/cl/797820 - release-branch.go1.26: https://go.dev/cl/797840 修正内容: ReadHeaderTimeoutが適用され、HTTP/2クライアントプレフィックスを読み取る際にタイムアウトが設定されるようにしました。 POCコードまたはエクスプロイトコード ページには具体的なPOCコードやエクスプロイトコードは提供されていません。 その他の情報 報告者: AdGuardのVsevolod Naumov と Ainar Garipov 状態: クローズ済み タグ: FixPending, Security, okay-after-rc2, release-blocker 結論 この脆弱性はGo言語のnet/httpパッケージに関わるものです。サーバーが未暗号化されたHTTP/2をサポートするように設定された場合、ReadHeaderTimeoutの欠如により潜在的なセキュリティ上の問題が生じる可能性があります。修正内容は複数のブランチに適用され、HTTP/2クライアントプレフィックスを読み取る際にタイムアウトが設定されることを確実にしています。

目標達成 すべての支援者に感謝 — 100%達成しました！

Go net/http HTTP/2 Unencrypted Connection DoS via Missing Timeout CVE-2026-56853

目標達成すべての支援者に感謝 — 100%達成しました！