CVE-2021-31525

Versões do Go anteriores à 1.15.12

Versões do Go 1.16.x anteriores à 1.16.4

A vulnerabilidade permite que invasores remotos provoquem uma negação de serviço (panic) por meio de um cabeçalho de grande tamanho enviado para ReadRequest ou ReadResponse. O servidor, o transporte e o cliente podem ser afetados em algumas configurações. Um servidor ou cliente HTTP malicioso pode fazer com que o cliente ou servidor net/http entre em estado de panic. ReadRequest e ReadResponse podem entrar em um estado de panic irrecuperável ao ler um cabeçalho muito grande.

Para versões do Go anteriores à 1.15.12, atualize para a versão 1.15.12 ou posterior para resolver o problema.

Para versões do Go 1.16.x anteriores à 1.16.4, atualize para a versão 1.16.4 ou posterior para resolver o problema.

Como solução alternativa temporária, considere definir Server.MaxHeaderBytes para um valor menor a fim de minimizar o risco de exploração.

Restrinja o acesso aos componentes Transport e Client para minimizar o risco de exploração.

Evite usar as funções ReadRequest e ReadResponse com cabeçalhos grandes até que o problema seja resolvido.