CVE-2023-22465
Vulnérabilité élevée dans http4s (http4s)
CVSS 7.5 · Élevée
EPSS 0.9%
http4s•http4s•Versions : >= 0.1.0, < 0.21.34, >= 0.23.0, < 0.23.17, >= 1.0.0-M1, < 1.0.0-M38, >= 0.22.0, < 0.22.15
Description
Http4s is a Scala interface for HTTP services. Starting with version 0.1.0 and prior to versions 0.21.34, 0.22.15, 0.23.17, and 1.0.0-M38, the `User-Agent` and `Server` header parsers are susceptible to a fatal error on certain inputs. In http4s, modeled headers are lazily parsed, so this only applies to services that explicitly request these typed headers. Fixes are released in 0.21.34, 0.22.15, 0.23.17, and 1.0.0-M38. As a workaround, use the weakly typed header interface.
Gravité et risque d'exploitation
CVE-2023-22465 obtient un score CVSS de 7.5/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.85 %, ce qui la place devant 57.5 % des CVE référencées.
Que faire ?
- Vérifiez si http4s (versions >= 0.1.0, < 0.21.34, >= 0.23.0, < 0.23.17, >= 1.0.0-M1, < 1.0.0-M38, >= 0.22.0, < 0.22.15) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.