Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - protocol-http1 提供 HTTP/1 通訊協定的低階實作。RFC 9112 區段 7.1 定義區塊大小、區塊資料和區塊延伸模組的格式。Content-Length 標頭的值應為 0-9 位數字的字串區塊大小應為十六進位數字的字串且應使用 CRLF 從區塊資料分割而區塊延伸模組不應包含任何隱藏字元。不過Falcon 在不遵守對應 RFC 時有下列行為接受具有「+」前置詞的 Content-Length 標頭值接受以「0x」前置詞以十六進位寫入的 Content-Length 標頭值接受前置詞為「0x」和「+」區塊大小並接受區塊延伸模組中的 LF。當透過多個 HTTP 剖析器轉送時此行為可導致不同步進而可能導致 HTTP 要求走私和繞過防火牆。此問題已在 `protocol-http1` v0.15.1 中修正。目前尚無已知的因應措施。
    (CVE-2023-38697)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - protocol-http1 提供 HTTP/1 协议的低级别实现。RFC 9112 7.1 部分定义了区块大小、区块数据和区块扩展的格式。Content-Length 标头的值应为 0-9 位数的字符串区块大小应为十六进制数字的字符串且应使用 CRLF 从区块数据中拆分且区块扩展不应包含任何不可见字符。但是如果 Falcon区块大小以及在区块扩展中接受 LF。此行为在通过多个 HTTP 解析器转发时可导致取消同步可能会造成 HTTP 请求走私和防火墙绕过。此问题已在“protocol-http1” v0.15.1 中修复。无已知变通方案。
    (CVE-2023-38697)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - protocol-http1 は HTTP/1 プロトコルの低レベル実装を提供します。RFC 9112 セクション 7.1 は、チャンクサイズ、チャンクデータ、およびチャンク拡張の形式を定義しました。Content-Length ヘッダーの値は 0 から 9 までの数字の文字列である必要があり、チャンクサイズは 16 進数の文字列である必要があり、CRLF を使用してチャンクデータから分割する必要があり、チャンク拡張には目に見えない文字が含まれてはなりません。しかし、Falcon は、対応する RFC に従わない場合、次の動作を行います「+」プレフィックスを持つ Content-Length ヘッダー値を受け入れる、「0x」プレフィックス付きの 16 進数で書かれた Content-Length ヘッダー値を受け入れる、「0x」および「+」プレフィックスが付けられるを受け入れますチャンクサイズを拡大し、チャンク拡張で LF を受け入れます。この動作は、複数の HTTP パーサーを介して転送する際に desync を引き起こし、HTTP リクエストのスマグリングやファイアウォールのバイパスを引き起こす可能性があります。この問題は、「protocol-http1」v0.15.1 で修正されています。既知の回避策はありません。
    (CVE-2023-38697)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The version of rubygem-protocol-http1 installed on the remote CBL Mariner 2.0 host is prior to tested version. It is, therefore, affected by a vulnerability as referenced in the CVE-2023-38697 advisory.

  - protocol-http1 provides a low-level implementation of the HTTP/1 protocol. RFC 9112 Section 7.1 defined     the format of chunk size, chunk data and chunk extension. The value of Content-Length header should be a     string of 0-9 digits, the chunk size should be a string of hex digits and should split from chunk data     using CRLF, and the chunk extension shouldn't contain any invisible character. However, Falcon has     following behaviors while disobey the corresponding RFCs: accepting Content-Length header values that have     `+` prefix, accepting Content-Length header values that written in hexadecimal with `0x` prefix, accepting     `0x` and `+` prefixed chunk size, and accepting LF in chunk extension. This behavior can lead to desync     when forwarding through multiple HTTP parsers, potentially results in HTTP request smuggling and firewall     bypassing. This issue is fixed in `protocol-http1` v0.15.1. There are no known workarounds.
    (CVE-2023-38697)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

An update of the rubygem package has been released.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - protocol-http1 provides a low-level implementation of the HTTP/1 protocol. RFC 9112 Section 7.1 defined     the format of chunk size, chunk data and chunk extension. The value of Content-Length header should be a     string of 0-9 digits, the chunk size should be a string of hex digits and should split from chunk data     using CRLF, and the chunk extension shouldn't contain any invisible character. However, Falcon has     following behaviors while disobey the corresponding RFCs: accepting Content-Length header values that have     `+` prefix, accepting Content-Length header values that written in hexadecimal with `0x` prefix, accepting     `0x` and `+` prefixed chunk size, and accepting LF in chunk extension. This behavior can lead to desync     when forwarding through multiple HTTP parsers, potentially results in HTTP request smuggling and firewall     bypassing. This issue is fixed in `protocol-http1` v0.15.1. There are no known workarounds.
    (CVE-2023-38697)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
251221	Linux Distros 未修補的弱點：CVE-2023-38697	Nessus	Misc.	2025/8/18	2026/2/3	medium
251221	Linux Distros 未修补的漏洞：CVE-2023-38697	Nessus	Misc.	2025/8/18	2026/2/3	medium
251221	Linux Distros のパッチ未適用の脆弱性: CVE-2023-38697	Nessus	Misc.	2025/8/18	2026/2/3	medium
180357	CBL Mariner 2.0 Security Update: rubygem-protocol-http1 (CVE-2023-38697)	Nessus	MarinerOS Local Security Checks	2023/8/31	2025/2/10	medium
211629	Photon OS 5.0: Rubygem PHSA-2024-5.0-0405	Nessus	PhotonOS Local Security Checks	2024/11/20	2024/11/20	medium
211628	Photon OS 4.0: Rubygem PHSA-2024-4.0-0713	Nessus	PhotonOS Local Security Checks	2024/11/20	2024/11/20	medium
251221	Linux Distros Unpatched Vulnerability : CVE-2023-38697	Nessus	Misc.	2025/8/18	2026/2/3	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium

medium