Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Knižnica h11 opravuje kritickú zraniteľnosť

knižnica jazyka Python pre implementáciu protokolu HTTP/1.1 h11 verziou 0.16.0 opravuje kritickú zraniteľnosť [1].

h11 - request smuggling (CVE-2025-43859)
CVSS 9.1 (Critical)

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie ukončenia blokov prenášaných dát (Chunked-Encoding bodies) v kombinácii s inou chybou (reverse) proxy servera v parsovaní dát umožnené obísť obmedzenia servera a neoprávnene pristupovať k chráneným endpointom, prípadne kompromitovať používateľské relácie a potenciálne získať prihlasovacie údaje používateľa [1].

Zraniteľnosť sa nachádza v produkte:

  • *:h11;<=0.15.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Viac informácií:

  • CVE-2025-43859 na cve.org, NVD
  • CWE-444: Inconsistent Interpretation of HTTP Requests ('HTTP Request/Response Smuggling') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 24. 4. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 29. 4. 2025.

CESNET, z.s.p.o. Logo