Привет, запаздавшая новость от 02 июля 2024

Появились мини релизы Go версии 1.22.5 и 1.21.12.

Эти версии включают 1 исправление системы безопасности:

net/http: denial of service due to improper 100-continue handling

Клиент net / http HTTP / 1.1 неправильно обработал случай, когда сервер отвечает на запрос заголовком "Ожидать: 100-продолжить" с неинформационным статусом (200 или выше). Из-за неправильного обращения клиентское соединение может перейти в недопустимое состояние, при котором следующий запрос, отправленный по соединению, завершится ошибкой.

Злоумышленник, отправляющий запрос на net / http / httputil.Прокси ReverseProxy, может использовать это неправильное обращение, чтобы вызвать отказ в обслуживании, отправляя запросы "Expect: 100-continue", которые вызывают неинформационный ответ от серверной части. Каждый такой запрос оставляет прокси с недопустимым подключением и приводит к сбою одного последующего запроса, использующего это соединение.