Go net/http HTTP/2 未加密连接头部超时绕过

漏洞概述 漏洞标题: 提交者: Damien Neil 提交日期: Jul 01 问题描述: 当服务器配置为支持未加密的HTTP/2时，它会从每个新连接读取前几个字节，以检查是否包含HTTP/2客户端前缀。在没有应用超时的情况下进行此读取操作，这本质上是在从连接中读取第一个头部。 影响范围 影响组件: 包 影响版本: 未明确指定，但涉及HTTP/2未加密检查 潜在风险: 可能导致服务器在处理未加密HTTP/2连接时出现超时问题，影响服务可用性和安全性 修复方案 修复内容: 将头部超时应用到服务器服务循环中，以便同时覆盖HTTP/2前缀和第一个HTTP/1头部 修复代码: 修复状态: 已提交并等待审查 相关Issue: #39005 其他信息 代码审查: 已通过 无未解决的评论: 是 审查强制: 满足 TryBots通过: 是 自动提交: 已启用 变更日志 Patchset 1: 由Damien Neil上传，时间为Jun 30 7:02 AM Patchset 2: 由Damien Neil上传，时间为Jun 30 7:03 AM Patchset 3: 由Damien Neil上传，时间为Jun 30 7:50 AM Patchset 4: 由Damien Neil上传，时间为Jun 30 8:04 AM 文件变更 src/net/http/serve_test.go: 新增57行，删除0行 src/net/http/server.go: 新增11行，删除13行 评论 总评论数: 18 已解决评论数: 6 检查 代码审查: 已通过 无未解决的评论: 是 审查强制: 满足 TryBots通过: 是 自动提交: 已启用 总结 该漏洞涉及 包在处理未加密HTTP/2连接时的头部超时问题。修复方案是将头部超时应用到服务器服务循环中，确保同时覆盖HTTP/2前缀和第一个HTTP/1头部。修复代码已提交并等待审查，相关Issue为#39005。

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Go net/http HTTP/2 未加密连接头部超时绕过

目标达成感谢每一位支持者 — 我们达成了 100% 目标！