kritisch
CVE-2026-66357
otp: inets: Erlang/OTP inets: HTTP Request Smuggling via improper header parsing
In der Trivy Database seit spätestens 24. Okt. 2026, 07:11 UTCWann der Eintrag vor diesem Build hinzukam, ist nicht erfasst.
Einstufung nach Quelle
Red Hat9.3CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:N
Trivys eigenes Label ist CRITICAL. Kritisch laut Red Hat. Niedriger laut Azure Linux (hoch), Ubuntu (mittel).
Beschreibung
httpd has never implemented obs-fold (RFC 2616 §2.2 / RFC 7230 §3.2.4 header continuation lines). Every CRLF followed by a non-CRLF octet unconditionally starts a new header. This missing feature became a security concern as the understanding of HTTP request smuggling attacks evolved. This issue affects OTP from OTP 17.0 before OTP 27.3.4.17, from OTP 28.0 before OTP 28.5.0.6, and from OTP 29.0 before OTP 29.0.6, corresponding to inets from 5.10 before 9.3.2.7, from 9.4 before 9.6.2.3, and from 9.7 before 9.7.2. Whether OTP before OTP 17.0, corresponding to inets before 5.10, is affected is unknown.
Betroffene Pakete und behobene Versionen
| Quelle | Paket | Behoben in |
|---|---|---|
| Azure Linux 3.0 | erlang | 0:26.2.5.21-6.azl3 |
| debian 11 | erlang | kein Fix angegeben |
| debian 12 | erlang | kein Fix angegeben |
| debian 13 | erlang | 1:27.3.4.1+dfsg-1+deb13u4 |
| debian 14 | erlang | 1:29.0.6+dfsg-1 |
| echo | erlang | 1:27.3.4.1+dfsg-1+deb13u4 |
| rapidfort alpine 3.20 | erlang | kein Fix angegeben |
| rapidfort alpine 3.21 | erlang | kein Fix angegeben |
| rapidfort alpine 3.22 | erlang | kein Fix angegeben |
| rapidfort alpine 3.23 | erlang | kein Fix angegeben |
| rapidfort alpine 3.24 | erlang | kein Fix angegeben |
| rapidfort debian 12 | erlang | 1:27.3.4.1+dfsg-1+deb13u4, 1:29.0.6+dfsg-1 |
Alle 105 Einträge aus 23 Quellen zeigen
| Quelle | Paket | Behoben in |
|---|---|---|
| Azure Linux 3.0 | erlang | 0:26.2.5.21-6.azl3 |
| debian 11 | erlang | kein Fix angegeben |
| debian 12 | erlang | kein Fix angegeben |
| debian 13 | erlang | 1:27.3.4.1+dfsg-1+deb13u4 |
| debian 14 | erlang | 1:29.0.6+dfsg-1 |
| echo | erlang | 1:27.3.4.1+dfsg-1+deb13u4 |
| rapidfort alpine 3.20 | erlang | kein Fix angegeben |
| rapidfort alpine 3.21 | erlang | kein Fix angegeben |
| rapidfort alpine 3.22 | erlang | kein Fix angegeben |
| rapidfort alpine 3.23 | erlang | kein Fix angegeben |
| rapidfort alpine 3.24 | erlang | kein Fix angegeben |
| rapidfort debian 12 | erlang | 1:27.3.4.1+dfsg-1+deb13u4, 1:29.0.6+dfsg-1 |
| rapidfort debian 13 | erlang | 1:27.3.4.1+dfsg-1+deb13u4, 1:29.0.6+dfsg-1 |
| rapidfort fedora 43 | erlang | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-asn1 | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-common_test | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-compiler | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-crypto | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-debugger | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-dialyzer | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-diameter | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-doc | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-edoc | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-eldap | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-erl_docgen | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-erl_interface | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-erts | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-et | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-eunit | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-examples | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-ftp | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-gdb-tools | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-inets | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-jinterface | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-kernel | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-megaco | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-mnesia | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-observer | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-odbc | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-os_mon | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-parsetools | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-public_key | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-reltool | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-runtime_tools | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-sasl | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-snmp | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-src | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-ssh | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-ssl | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-stdlib | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-syntax_tools | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-tftp | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-tools | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-wx | 26.2.5.21-11.fc43 |
| rapidfort fedora 43 | erlang-xmerl | 26.2.5.21-11.fc43 |
| rapidfort Oracle Linux 9 | erlang | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-asn1 | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-common_test | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-compiler | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-crypto | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-debugger | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-dialyzer | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-diameter | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-doc | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-edoc | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-eldap | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-erl_docgen | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-erl_interface | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-erts | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-et | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-eunit | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-examples | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-ftp | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-gdb-tools | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-inets | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-jinterface | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-kernel | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-megaco | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-mnesia | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-observer | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-odbc | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-os_mon | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-parsetools | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-public_key | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-reltool | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-runtime_tools | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-sasl | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-snmp | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-src | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-ssh | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-ssl | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-stdlib | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-syntax_tools | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-tftp | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-tools | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-wx | kein Fix angegeben |
| rapidfort Oracle Linux 9 | erlang-xmerl | kein Fix angegeben |
| rapidfort ubuntu 20.04 | erlang | 1:24.2.1+dfsg-1ubuntu0.7, 1:25.3.2.8+dfsg-1ubuntu4.7, 1:27.3.4.6+dfsg-1ubuntu0.1 |
| rapidfort ubuntu 22.04 | erlang | 1:24.2.1+dfsg-1ubuntu0.7, 1:25.3.2.8+dfsg-1ubuntu4.7, 1:27.3.4.6+dfsg-1ubuntu0.1 |
| rapidfort ubuntu 24.04 | erlang | 1:24.2.1+dfsg-1ubuntu0.7, 1:25.3.2.8+dfsg-1ubuntu4.7, 1:27.3.4.6+dfsg-1ubuntu0.1 |
| ubuntu 18.04-ESM | erlang | 1:20.2.2+dfsg-1ubuntu2+esm3 |
| ubuntu 20.04-ESM | erlang | 1:22.2.7+dfsg-1ubuntu0.5+esm2 |
| ubuntu 22.04 | erlang | 1:24.2.1+dfsg-1ubuntu0.7 |
| ubuntu 24.04 | erlang | 1:25.3.2.8+dfsg-1ubuntu4.7 |
| ubuntu 26.04 | erlang | 1:27.3.4.6+dfsg-1ubuntu0.1 |
Referenzen
- https://access.redhat.com/security/cve/CVE-2026-66357
- https://cna.erlef.org/cves/CVE-2026-66357.html
- https://github.com/erlang/otp/commit/220d618d2479a7180b4a06d0c5aacfaa4af4a85b
- https://github.com/erlang/otp/commit/273d8958de38ff2a7fe0c5dcc5b6bfe6f65717f3
- https://github.com/erlang/otp/commit/e640d599287d2eba919e6f13b91f042d7dbe6ff4
- https://github.com/erlang/otp/security/advisories/GHSA-qh2f-33hj-37qf
- https://nvd.nist.gov/vuln/detail/CVE-2026-66357
- https://osv.dev/vulnerability/EEF-CVE-2026-66357