Go CVE-2026-78660: HTTP/2 Response Smuggling via Multiple Content-Length Headers

脆弱性概要 脆弱性タイトル：net/http/internal/http2: transport accepts multiple Content-Length headers #81115 CVE番号：CVE-2026-78660 脆弱性情報：Go言語のHTTP/2実装には、HTTP/2トランスポートが複数のContent-Lengthヘッダーを受け入れることを許可するセキュリティ脆弱性が存在します。これにより、レスポンススミージング攻撃のリスクが生じる可能性があります。なぜなら、HTTP/2クライアントがリバースプロキシとして動作している場合、複数のContent-Lengthヘッダーを含むレスポンスをHTTP/1クライアントに転送する際、HTTP/1クライアントはこれらのヘッダーを厳密に処理しない可能性があり、その結果、潜在的なセキュリティ問題を引き起こすからです。 影響範囲 影響を受けるコンポーネント：Go言語のnet/http/internal/http2モジュール 影響を受けるバージョン：Go 1.26およびそれ以前のバージョン 脆弱性の種類：セキュリティ脆弱性（Security） 修正状況：修正済み（FixPending） 修正方法 修正措置：レスポンススミージング攻撃を防ぐため、HTTP/2トランスポートで受信した不正確なフレーム関連ヘッダーを削除します。 修正バージョン：Go 1.28 修正コミット： - - 関連コード変更リンク：https://go.dev/cl/835145 - 関連コード変更リンク：https://go.dev/cl/836305 - 関連コード変更リンク：https://go.dev/cl/836505 関連ディスカッション 関連Issue： - net/http: duplicate Content-Length headers are handled differently in HTTP/1 and HTTP/2 #78746 - net/http: support multiple identical Content-Length headers #18490 - net/http: improper sanitization of Transfer-Encoding header #53188 - net/http: Content-Length values are not validated when Transfer-Encoding: chunked is present #65505 - net/http: bad handling of HEAD requests with a body #53960 - x/net/http2: Transport doesn't set Content-Length the same as HTTP/1 #13315 関連ディスカッション： - Content-Length and RFC 7230 修正タイムライン 脆弱性報告日時：2026年8月26日 修正コミット日時：2026年8月29日 修正完了日時：2026年8月30日 その他情報 脆弱性タグ：FixPending, Security, release-blocker 脆弱性の優先度：高（release-blocker） 脆弱性の状態：クローズ済み（Closed） 関連コード変更 コード変更リンク： - https://go.dev/cl/835145 - https://go.dev/cl/836305 - https://go.dev/cl/836505 関連コミット コミットリンク： - https://go.dev/cl/835145 - https://go.dev/cl/836305 - https://go.dev/cl/836505 関連Issue 関連Issueリンク： - https://github.com/golang/go/issues/78746 - https://github.com/golang/go/issues/18490 - https://github.com/golang/go/issues/53188 - https://github.com/golang/go/issues/65505 - https://github.com/golang/go/issues/53960 - https://github.com/golang/go/issues/13315 関連ディスカッション 関連ディスカッションリンク： - https://github.com/golang/go/issues/81115#discussion_r123456789

目標達成すべての支援者に感謝 — 100%達成しました！

Go CVE-2026-78660: HTTP/2 Response Smuggling via Multiple Content-Length Headers

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Go CVE-2026-78660: HTTP/2 Response Smuggling via Multiple Content-Length Headers

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！