JVNDB-2026-017350

benoitcのhackneyにおけるCRLF インジェクションの脆弱性

benoitc hackneyにおけるCRLFシーケンスの不適切な無害化（「CRLFインジェクション」）の脆弱性により、HTTPリクエスト/レスポンス分割が可能になります。src/hackney_ws.erlのWebSocketアップグレードコードは、callerが渡すoptsマップからhost、path、headers（ExtraHeaders）、protocolsオプションをinit/1内で内部の#ws_data{}レコードにコピーし、その後do_handshake/1でバイナリ連結によりそれらを生のHTTP/1.1アップグレードリクエストにそのまま挿入します。これら4か所のインジェクション箇所のいずれでもCRLFやNULの除去は行われません。攻撃者は、例えば信頼できない入力からのURLの一部やヘッダー値をhackney_ws:start_link/1にフォワードすることで、これらのオプションのいずれかを制御可能であれば、任意のHTTPヘッダーを送信先WebSocketアップグレードリクエストに注入できます。これにより、ヘッダーインジェクションや上流サーバーに対する資格情報のなりすまし、ログやキャッシュの汚染、中間プロキシを介したリクエストスマグリングを引き起こす可能性があります。この問題はhackneyのバージョン2.0.0から4.0.1未満に影響があります。

benoitc

• hackney 2.0.0 以上 4.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Erlang Ecosystem Foundation

• Erlang Ecosystem Foundation : CRLF injection in WebSocket upgrade request in hackney | Erlang Ecosystem Foundation CNA

GitHub

• GitHub : CRLF / header injection in WebSocket upgrade request  Advisory  benoitc/hackney  GitHub

Open Source Vulnerabilities

• Open Source Vulnerabilities : EEF-CVE-2026-47072 - OSV

1. CRLF インジェクション(CWE-93) [その他]

1. CVE-2026-47072

1. National Vulnerability Database (NVD) : CVE-2026-47072
2. 関連文書 : fix(security): reject CR/LF/NUL in WebSocket upgrade request (GHSA-f9vr)  benoitc/hackney@52310ca  GitHub

• [2026年06月03日]
    掲載