Go net/http Fix: Apply header timeout to unencrypted HTTP/2 server check

脆弱性概要 脆弱性タイトル: 提出者: Damien Neil 提出日付: 7月1日 問題の説明: サーバーが未暗号化HTTP/2をサポートするように設定されている場合、新しい各接続から先頭のいくつかのバイトを読み取り、HTTP/2クライアントプレフィックスを含むかどうかを確認します。この読み取り操作にタイムアウトが適用されていないことは、実質的に接続から最初のヘッダーを読み取ることに相当します。 影響範囲 影響コンポーネント: パッケージ 影響バージョン: 明示されていませんが、HTTP/2の未暗号化チェックに関係します 潜在的リスク: 未暗号化HTTP/2接続を処理する際のタイムアウト問題を引き起こし、サービスの可用性とセキュリティに悪影響を及ぼす可能性があります 修正方案 修正内容: ヘッダータイムアウトをサーバーのサービスループに適用することで、HTTP/2プレフィックスと最初のHTTP/1ヘッダーの両方をカバーできるようにする 修正コード: 修正ステータス: 提出済み、レビュー待ち 関連Issue: #39005 その他情報 コードレビュー: 承認済み 未解決のコメントなし: はい レビュー必須: 条件を満たしています TryBots合格: はい 自動コミット: 有効化済み 変更履歴 Patchset 1: Damien Neil が 6月30日 朝7:02 にアップロード Patchset 2: Damien Neil が 6月30日 朝7:03 にアップロード Patchset 3: Damien Neil が 6月30日 朝7:50 にアップロード Patchset 4: Damien Neil が 6月30日 朝8:04 にアップロード ファイル変更 src/net/http/serve_test.go: 57行追加、0行削除 src/net/http/server.go: 11行追加、13行削除 コメント コメント総数: 18 解決済みコメント数: 6 チェック コードレビュー: 承認済み 未解決のコメントなし: はい レビュー必須: 条件を満たしています TryBots合格: はい 自動コミット: 有効化済み まとめ この脆弱性は、 パッケージが未暗号化HTTP/2接続を処理する際のリクエストヘッダーのタイムアウト問題に関係します。修正策は、サーバーのサービスループにヘッダータイムアウトを適用することで、HTTP/2プレフィックスと最初のHTTP/1ヘッダーの両方をカバーできるようにすることです。修正コードは提出済みでレビュー待ちであり、関連するIssueは#39005です。

目標達成 すべての支援者に感謝 — 100%達成しました！

Go net/http Fix: Apply header timeout to unencrypted HTTP/2 server check

目標達成すべての支援者に感謝 — 100%達成しました！